Bunfhíordheimhniú thar HTTPS in aghaidh IPsec: cad a chosnaíonn gach ceann

Oscail na huirlisí forbróra, luchtaigh an feidhmchlár inmheánach agus féach ar iarratas amháin ag dul trí cheithre phointe seiceála sula ndéantar an leathanach a rindreáil. Ar dtús réitítear an t-ainm, ansin osclaítear nasc TCP, ansin socraíonn croitheadh lámh TLS cé atá sa fhreastalaí, agus ní iarrann an feidhmchlár cé thusa go dtí sin. Caith leo mar imeachtaí ar leith, mar teipeann ar gach ceann le fianaise éagsúil agus tá gach ceann faoi úinéireacht foirne éagsúla. Tagann an chuid is mó den mhearbhall i dteagmhais as 401 a léamh mar fhadhb tolláin, nó fadhb tolláin a léamh mar phasfhocal dona.

Pointe seiceála a haon: an é seo an freastalaí a raibh tú ag iarraidh labhairt leis

Freagraíonn croitheadh lámh TLS an cheist sin sula seoltar aon deimhniú. Bailíochtaíonn do chliant an slabhra teastas i gcoinne stórála iontaoibhe agus seiceálann sé go bhfuil an t-ainm sa teastas ag teacht leis an óstach a chlóscríobh tú. Mura n-éiríonn leis sin, taispeánann an brabhsálaí earráid teastais agus ní sheolann sé an ceanntásc Authorization ar chor ar bith. Mar sin ní fianaise é iarraidh pasfhocail go bhfuil an freastalaí barántúil; is fianaise é gur fhreagair an feidhmchlár.

Seo an chéad teorainn. Cosnaíonn TLS an nasc go dtí a phointe foirceanta. Má chríochnaíonn cothromóir ualaigh TLS agus má sheolann sé HTTP lom chuig an bhfeidhmchlár, críochnaíonn an deighleog chriptithe ag an gcothromóir, agus ní chosnaítear na dintiúir ach ar an gcéad léim sin.

Pointe seiceála a dó: cad a thaistealaíonn i ndáiríre in malartú 401

Seolann bunfhíordheimhniú HTTP an t-aitheantóir úsáideora agus an pasfhocal i gceanntásc, ionchódaithe le Base64 mar a thuairiscítear in RFC 7617. Is é Authorization: Basic dXNlcjpwYXNz an fhoirm; is féidir le haon duine ar féidir leis an iarratas a léamh an t-ionchódú a aisiompú, mar sin tagann an rúndacht ar fad ón iompar thíos. Taispeánann curl -v an dúshlán WWW-Authenticate: Basic agus an ceanntásc a sheolann tú ar ais.

Insíonn an ceanntásc sin don fheidhmchlár cé atá ag fiafraí. Ní insíonn sé don líonra cé a fhéadfaidh nascadh, agus ní chriptíonn sé aon rud ann féin. Caithfidh an feidhmchlár an deimhniú a sheiceáil i gcoinne stórála fós agus a shocrú cad is féidir leis an gcuntas sin a dhéanamh, rud is údarú é agus a tharlaíonn tar éis fíordheimhniú.

Cá bhfuil tollán IPsec sa chosán sin

Siúil amach ón mbrabhsálaí anois. Cosnaíonn tollán IPsec idir geataí trácht roghnaithe idir dhá gheata slándála, ní idir do ríomhaire glúine agus próiseas an fheidhmchláir. Cuireann ESP i mód tolláin an paicéad bunaidh i gclúdach, criptíonn agus fíordheimhníonn na geataí é, agus maireann na seoltaí istigh ionas gur féidir leis an taobh i bhfad i gcéin an t-iarratas a ródú chuig an bhfeidhmchlár.

Is é an roghnú an chuid a chuireann daoine ar strae. Úsáideann tolláin atá bunaithe ar pholasaí roghnóirí tráchta, a chuirtear in iúl go minic mar liostaí rialaithe rochtana, chun a shocrú cé na paicéid a théann isteach sa tollán. Úsáideann tolláin atá bunaithe ar róid comhéadan fíorúil agus an tábla ródaithe ina ionad. Ar Linux taispeánann ip xfrm policy na roghnóirí agus taispeánann ip xfrm state na comhlachais slándála atá bunaithe; ar fhearas balla dóiteáin is é an choibhéis tábla SA an tolláin móide rianaitheoir paicéad.

Is fiú an iarmhairt a rá go soiléir. Is féidir le paicéad suí taobh istigh de thollán folláin agus fós iarratas HTTPS a iompar a dhiúltaíonn an feidhmchlár, agus is féidir le dintiúir bhailí teacht ar chosán gan aon tollán ar chor ar bith má cheadaíonn an ródú é.

Léigh an teip ag an gciseal a thuairiscigh é

Ciallaíonn 401 nár ghlac an feidhmchlár leis an deimhniú. Ciallaíonn 403 gur ghlac sé leis an bhféiniúlacht agus gur dhiúltaigh sé don oibríocht. Ciallaíonn earráid TLS nár ghlac an cliant leis an bhfreastalaí. Ciallaíonn easpa róid nó mí-oiriúnú polasaí nár shroich an paicéad an geata i bhfad i gcéin riamh. Ceithre theip éagsúla, ceithre úinéir éagsúla, agus ní dhéantar aon cheann acu a dhiagnóisiú trí stánadh ar an bhfoirm logála isteach.

Úsáid an fhianaise a tháirgeann gach ciseal: painéal líonra an bhrabhsálaí le haghaidh stádas agus ceanntásc, openssl s_client -connect host:443 don slabhra teastas, cuntair SA agus logaí an gheata do thrácht an tolláin, agus loga an fheidhmchláir don chinneadh cuntais. Nuair a thuairiscíonn dhá chiseal earráidí ag an am céanna, deisigh an ceann is ísle ar dtús, mar is féidir le tollán marbh teip fhíordheimhniúcháin a cheilt go héasca agus a mhalairt.

Déan léarscáil d’aon tseirbhís ó cheann go ceann

Scríobh cúig líne don tseirbhís a bhfuil tú ag déanamh fabhtcheartaithe uirthi: cé na piaraí a nascann an tollán, cé na fo-líonraí agus calafoirt a cheadaíonn na roghnóirí, cá gcríochnaíonn TLS agus cé an fhéiniúlacht a dhearbhaíonn an teastas, cé an cuntas agus ról feidhmchláir a úsáidtear, agus cá logálann gach ciseal. Coinnigh iad ar aon leathanach amháin, mar is é pointe na léarscáile a thaispeáint cá gcríochnaíonn freagracht ciseal amháin agus cá dtosaíonn an chéad cheann eile.

Ansin tástáil cás diúltach amháin in aghaidh an chiseal. Úsáid pasfhocal mícheart agus deimhnigh go bhfaigheann tú 401, ní amaicearrach. Ceangail ó fho-líonra lasmuigh de na roghnóirí agus deimhnigh nach dtéann an paicéad tríd an tollán. Cuir teastas i láthair don ainm mícheart agus deimhnigh go ndiúltaíonn an cliant sula seolann sé dintiúir. Insíonn na trí thoradh sin níos mó duit faoin dearadh ná aon léaráid boscaí.

Ar deireadh, socraigh go feasach cén chosaint a theastaíonn ó gach caidreamh. Is rogha réasúnta é bunfhíordheimhniú thar TLS d’uirlis bheag inmheánach taobh thiar de gheata; ní thagann sé in ionad údaraithe in aghaidh an úsáideora ná cosaint tráchta thar phointe deiridh TLS. Cosnaíonn an tollán an cosán, cosnaíonn an teastas an léim, agus cosnaíonn an 401 an cuntas, agus ní fhios ag aon ach an ceann deireanach cé thusa.