Un envoltorio TLS dálle unha rede privada? Normalmente non

TLS protexe unha canle entre dous extremos e non di nada sobre que servizos hai dentro. Un envoltorio converte esa canle nun único reenviador configurado, para un só oínte, cara a un só destino. Un produto vendido como SSL VPN adoita engadir unha interface, unha táboa de rutas e un modelo de acceso arredor do mesmo primitivo. Confundir os dous é como un túnel que funciona se toma por acceso á rede.

Que conecta realmente un envoltorio de servizo

Un envoltorio escoita nun porto local e reenvía o que chega a un destino configurado, xa sexa un host e un porto ou un programa local. Ese destino escólleo quen escribiu o ficheiro de configuración, un oínte á vez. Instalar o paquete non crea rutas, nin interface virtual, nin alcance para nada que non estea listado explicitamente. Le a configuración antes que a descrición do paquete, porque a descrición cobre unha clase de uso e o ficheiro cobre a túa.

Así que a pregunta útil sobre un envoltorio non é se cifra, senón que hai en cada extremo da cadea que constrúe.

application -> local listener -> TLS connection -> remote listener -> configured backend

Le esa cadea desde a configuración e non desde o nome comercial. Cada frecha é un salto de rede separado coa súa propia dirección e as súas propias regras de acceso.

Atopa onde remata a canle TLS

Se o envoltorio remata o TLS, todo o que reenvía despois é unha conexión nova con propiedades novas. O fluxo pode ser texto plano nun segmento privado, ou pode levar outro protocolo protexido dentro. Supoñer calquera das dúas cousas sen ler a configuración do backend é como a xente conclúe que a capa exterior protexe datos que xa non volve ver. O salto reenviado merece a súa propia inspección, na súa propia dirección e porto.

Comproba o oínte e o backend por separado, porque un apretón de mans que ten éxito na porta de entrada non di nada sobre o servizo que hai detrás.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

O primeiro comando mostra que proceso posúe o porto e en que dirección escoita. O segundo imprime o certificado que o cliente recibe realmente, que é a comprobación de identidade que un número de porto non pode substituír.

Que engade unha VPN encamiñada que un envoltorio non fai

Unha VPN encamiñada instala unha interface, toma posesión de prefixos seleccionados e intégrase co encamiñamento e a política de acceso do host. Cada aplicación da máquina benefíciase sen saber que o túnel existe. Un envoltorio dá ese alcance a un só oínte configurado e detense aí.

A admisión é outra cousa. Unha VPN que autentica un cliente segue necesitando unha autorización que diga a que recursos pode chegar, e un envoltorio que autentica un par segue necesitando un backend que aplique os seus propios permisos.

Hai unha combinación legítima: un protocolo VPN transportado dentro dun envoltorio TLS sobre unha disposición TCP deliberadamente soportada. Iso apila dúas capas e non converte o envoltorio e a VPN no mesmo tipo de obxecto.

Compara a fronteira que falla

Anota a dirección frontal, o oínte, a identidade do par, o obxectivo do backend e a operación da aplicación antes de cambiar nada. Despois compara o comparable: un éxito a través doutro nome de host ou porto non demostra que as condicións do cortafuegos e do certificado fosen idénticas.

Unha solicitude rexeitada do backend nunca debería repararse desactivando a verificación de identidade frontal. Iso cambia un fallo de autorización diagnosticable por un fallo de confianza non diagnosticable.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Fixar o nome a unha dirección escollida separa a resolución de nomes do alcance, que adoita ser a forma máis rápida de saber cal das dúas está rota.

A comparación que importa nomea o par de extremos protexidos, a carga transportada, as aplicacións que a usan e o permiso que se aplica no destino. TLS contribúe a esa descrición sen completala.