TLS dúchais, aistriú SSH nó VPN do sheirbhís scamall amháin

Is annamh gurb é an cheist ar cheart rud éigin a chriptiú idir dhá mheaisín scamaill; is í an cheist cén comhéadan a chriptíonn tú agus cé a sheiceálann cé. Tosaím na comhráite seo leis an tseirbhís seachas leis an léaráid líonra, mar tá a fhios ag an tseirbhís cheana féin cad a theastaíonn uaithi. Clúdaíonn trí theorainn an chuid is mó de na cásanna: TLS na feidhmchláir féin, aon phort TCP amháin a aistrítear thar SSH, agus forleagan ródaithe a thugann seoladh do gach rannpháirtí. Ní dhéantar iad a rangú de réir neart, ach de réir an méid den fhadhb a chlúdaíonn siad.

Tosaigh leis an tseirbhís, ní leis an líonra

Siúil amach ón bpróiseas. Cén prótacal a labhraíonn sé, cén t-ainm a sheiceálfaidh an cliant, agus cé atá ceadaithe chun nasc a oscailt ar chor ar bith? Cuireann na trí fhreagra sin deireadh le roghanna níos tapúla ná aon tábla comparáide, agus is gnách go dtagann cumraíocht na seirbhíse féin orthu i gceann cúpla nóiméad.

Tóg API inmheánach beag a sheirbheálann HTTPS cheana féin ar phort 8443 le teastas do api.internal.example. Taispeánann ss -ltnp ar an óstach cad a cheanglaíonn sé, agus taispeánann openssl s_client -connect 127.0.0.1:8443 -verify_hostname api.internal.example an bhfuil an teastas bailí don ainm a úsáidfidh an cliant i ndáiríre. Má tá an dá rud sláintiúil, féadann an tseirbhís a sruth féin a chosaint agus ní fhanann ach inrochtaineacht. Is fadhb i bhfad níos lú é sin ná líonra a thógáil.

Céim 1: an gcosnaíonn an tseirbhís í féin?

Seo an rogha a thógtar nuair a oireann sé, agus oireann sé níos minice ná mar a ghlacann foirne. Clúdaíonn criptiú na seirbhíse an bealach ar fad idir cliant agus freastalaí, lena n-áirítear gach léim eatarthu, rud nach bhfeabhsaíonn aon tollán timpeall an lár. Socraigh an t-ainm ionchasach agus an mhuinín go sainráite in ionad brath ar an méid atá i stór réamhshocraithe an chliaint trí sheans.

Fanann criptiú agus inrochtaineacht ina rialuithe ar leith, agus is é a gcomhcheangal an áit a théann an rogha seo amú. Glacann seirbhís TLS ar éisteoir poiblí gan srian le hiarrachtaí naisc ó aon duine fós, mar sin caithfear an t-éisteoir agus na rialacha líonra a theorannú go neamhspleách ar an bhfíric go bhfuil an t-ualach paeite cosanta. Ansin seiceáil na spleáchais, mar ní deir API thar TLS aon rud faoin bpointe aimsithe, an port riaracháin ná an cainéal aistrithe mórthaobhach ina aice. Teastaíonn a fhreagra féin ó gach ceann acu, agus is leor deartháir amháin gan chosaint chun an teorainn ar fad a dhéanamh ina fhicsean.

Céim 2: an é aon phort TCP an riachtanas ar fad?

Nuair is é aon phort TCP go fírinneach an riachtanas, is é aistriú an rud is lú a oibríonn. Iompraíonn aistriú SSH áitiúil an port sin trí nasc fíordheimhnithe atá ann cheana féin.

Is é ssh -N -L 8443:127.0.0.1:8443 [email protected] an chuma, agus is é an sonra atá tábhachtach an seoladh sprice: réitítear 127.0.0.1 ar an taobh i bhfad i gcéin, mar sin osclaítear an nasc chuig an tseirbhís ón mbastún seachas ó do ríomhaire glúine. Ceangail an t-éisteoir áitiúil go cúng mar -L 127.0.0.1:8443:... ionas nach bhfoilseoidh tú an tseirbhís ar do líonra áitiúil féin de thaisme. Ar thaobh an fhreastalaí, cuir srian ar cad is féidir leis an gcuntas a aistriú in ionad muinín a bheith agat as iompar maith an chliaint. Is iad PermitOpen, AllowTcpForwarding local agus GatewayPorts no réamhshocraithe na trí shocrú a dhéanann rele ginearálta ina chainéal sonrach.

Tá an conradh cúng sa dá threo. Cosnaíonn SSH a chainéal féin, agus teastaíonn a chosaint féin ó léim bhreise ón mbastún chuig feidhmchlár eile. Tá nochtadh iomlán difriúil ag seirbhís nach n-éisteann ach le loopback an bhastúin ná ag ceann a shroichtear thar líonra eile, agus ní athraíonn an t-aistriú sin. Coinnigh fíordheimhniú agus seiceálacha TLS an fheidhmchláir ina n-áit in ionad an tollán a mheas mar ionadaí orthu.

Oibríonn sé seo go maith do nasc amháin le húinéir amháin. Ar scála éiríonn sé ina chóras: coinbhleachtaí port áitiúla, maoirseacht, rothlú eochracha agus an cheist cé a atosaíonn an t-aistriú tar éis atosaithe.

Céim 3: an é ródú an riachtanas iarbhír?

Is é an liosta sin costas macánta na rogha is lú, agus is é sin an fáth a n-athshocraíonn foirne dornán de orduithe cúlra dearmadta le rud éigin bainistithe sa deireadh. Ní VPN go huathoibríoch an t-ionadaí. Más é aon phort TCP fós an riachtanas, tá aistriú faoi mhaoirseacht le húinéir doiciméadaithe níos saoire le rith ná forleagan agus teipeann sé ar bhealaí a fheiceann tú. Tomhais úinéireacht oibriúcháin sula dtomhaiseann tú galántacht.

Éiríonn ródú ina fhreagra ceart nuair is é ródú an riachtanas. Treoraíonn roinnt feidhmchlár a dteastaíonn gnáthnascacht IP uathu, prótacail nach féidir le haistriú TCP a iompar, nó seirbhísí a bhogann idir óstaigh go léir an treo céanna.

Tugann forleagan seoladh agus ród do rannpháirtithe, agus ansin tosaíonn an fíor-obair: raonta nach bhforluíonn, úinéireacht róid, DNS, clárú, cúlghairm agus cad a tharlaíonn nuair a imíonn piara. Ní thagann aon rud díobh sin leis an seoladh. Ní bhíonn piara a ligtear isteach sa fhorleagan údaraithe go huathoibríoch do gach oibríocht ar an gceann scríbe ach an oiread, mar sin fanann fíordheimhniú ar leibhéal na seirbhíse.

Cad atá agat ina dhiaidh sin

Baineann dhá rud leis an taifead a fhágann tú. Is é an chéad cheann an féiniúlacht a bhfuiltear ag súil go bhfíoróidh an cliant, mar théann gach ceann de na teorainneacha seo in olcas go ciúin a luaithe a lagaítear seiceáil ainm chun rud éigin a chur ag obair. Is é an dara ceann an chéim bhainte: cén eochair, cén riail nó cén ród a imíonn nuair a chríochnaíonn rochtain, agus cé a dhéanann é.

Críochnaíonn an siúlóid san áit ar thosaigh sí, leis an tseirbhís. Roghnaigh an teorainn a chlúdaíonn an trácht iarbhír agus a fhíoraíonn na piaraí a raibh tú ag iarraidh a fhíorú, ansin scríobh síos conas a dhéantar rochtain a nuashonrú, a mhonatóireacht agus a bhaint. An tagairt OpenSSH is ea an áit chun na roghanna aistrithe a dhearbhú sula ngeallann tú conradh cúng. Mura féidir leat an chéim bhainte a thuairisciú in aon abairt amháin, tá an teorainn níos mó ná an fhadhb.