SSL VPN ou envoltorio TLS? Compare a fronteira que fallou

Dous deseños poden executar TLS no porto 443 e significar cousas completamente distintas. Un envoltorio protexe unha conexión configurada entre un porto local e un backend remoto. Un deseño de acceso á rede transporta tráfico seleccionado e cambia a que pode chegar o cliente. Faga as catro comprobacións seguintes en orde e saberá cal dos dous está a ver, o que normalmente abonda para saber que capa fallou.

Comece pola conexión que realmente configurou

Anote o extremo frontal e o traseiro antes de comparar produtos. Un envoltorio escoita nun enderezo local e reenvía a un remoto, ou inicia un programa no lado remoto, e ese par é todo o seu contrato. As demais aplicacións do cliente non saben nada del a menos que as dirixa cara a el. Iso non é unha carencia da ferramenta, é para o que serve a ferramenta.

O contrato dun deseño de rede é distinto e exprésase en rutas e políticas, non nun par de portos.

Fíxese en cal desas dúas descricións coincide co seu diagrama. Se a resposta é unha asignación de porto cun certificado no medio, ten un envoltorio aínda que o nome do produto diga VPN. Se a resposta é unha interface de túnel e cambios de ruta, ten un deseño de rede aínda que se execute no 443.

Comprobe a que se conecta o envoltorio

Lea os axustes de escoita e conexión e séguiaos ata o backend real. Un envoltorio que reenvía a un porto de base de datos non abre unha aplicación web, e un envoltorio que executa un programa inicia ese programa en lugar de publicar todo o demais que executa o host. O backend é o único que o envoltorio coñece.

Despois decida se o fluxo reenviado é texto simple cando remata TLS. Unha conexión envolta protexe o segmento entre os dous envoltorios, e o que ocorre tras o envoltorio afastado é unha cuestión aparte. Por iso envolver algo que xa leva a súa propia protección ás veces é sensato e ás veces son só pezas móbiles de máis. Inspeccione o seguinte salto en lugar de supoñer calquera das dúas respostas.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

O primeiro comando mostra o certificado que realmente se ofrece a un cliente, e o segundo mostra que escoita no host. Compare ese nome de certificado co que esperaba antes de ler calquera outra cousa.

Comprobe que tráfico transporta o deseño

Os deseños de acceso á rede transportan tráfico seleccionado e intégranse co encamiñamento e a política de acceso do cliente. A admisión non é autorización, así que unha conexión autenticada aínda necesita unha decisión sobre a que recursos pode chegar. Un portal sen cliente é un terceiro modelo que fai de proxy das operacións admitidas sen aparecer nunca como unha interface tun.

A etiqueta do produto non lle di cal deses modelos comprou, e o número de porto di aínda menos.

A superposición é posible e non debe confundir a comparación. Un protocolo de túnel pode ir el mesmo envolto en TLS nunha disposición TCP admitida, o que engade unha capa arredor do túnel sen converter o envoltorio no túnel. É unha decisión de deseño co seu propio comportamento de rendemento e de fallo, e merece unha liña no diagrama. Anótea e despois compare os modelos subxacentes, non o envoltorio exterior.

Comprobe a fronteira que fallou, non a etiqueta

Anote os feitos dun intento fallido: enderezo frontal, oínte, a identidade que o cliente verificou, o destino do backend e a operación solicitada. Un apretón de mans exitoso demostra que o TLS exterior se completou e non di nada do backend. Un rexeitamento do backend é un evento distinto dun fallo de identidade no frontal, e ningún dos dous mellora se se quita -verify_return_error do cliente. Compare o comparable, porque un éxito por outro nome de host ou porto non demostra que as condicións fosen as mesmas.

O porto 443 é unha convención que deixa pasar TLS polos dispositivos intermedios. Non fai que o tráfico arbitrario pareza unha petición web para un dispositivo de políticas.

Remate cunha frase que nomee o par de extremos, que se transporta, que aplicacións o usan e que permiso impón o destino. Un deseño que non pode encher eses catro ocos non está rematado, diga o que diga a súa etiqueta. Esa frase é tamén a forma máis rápida de explicar o deseño a quen sexa o propietario da devasa.