TLS na asali, tura SSH ko VPN don sabis ɗaya na girgije

Tambayar ba safai ba ce ko a rufa wani abu tsakanin na'urori biyu na girgije; ita ce wace muɓɓa kuke rufawa kuma wa ke duba wanene. Ina fara waɗannan tattaunawa daga sabis ɗin maimakon zanen cibiyar sadarwa, domin sabis ɗin ya riga ya san abin da yake bukata. Iyakoki uku suna rufe yawancin al'amura: TLS na aikace-aikacen kansa, tashar TCP ɗaya da aka tura ta SSH, da murfin da aka yi wa hanya wanda ke ba kowane ɗan takara adireshi. Ba a jera su bisa ƙarfi ba, sai dai bisa yawan matsalar da suke rufawa.

Fara da sabis ɗin, ba da cibiyar sadarwa ba

Tafi daga tsari zuwa waje. Wace yarjejeniya yake magana, wane suna ne abokin ciniki zai duba, kuma wa aka ba izinin buɗe haɗi kwata-kwata? Waɗannan amsoshi uku suna kawar da zaɓuɓɓuka da sauri fiye da kowane tebur kwatance, kuma saitin sabis ɗin da kansa yawanci yana amsa su cikin 'yan mintuna.

Ɗauki ƙaramin API na ciki wanda ya riga ya ba da HTTPS a tashar 8443 tare da takardar shaida don api.internal.example. ss -ltnp a kan mai masauki yana nuna abin da yake ɗaurewa, kuma openssl s_client -connect 127.0.0.1:8443 -verify_hostname api.internal.example yana nuna ko takardar shaidar tana aiki don sunan da abokin ciniki zai yi amfani da shi da gaske. Idan duka biyun suna lafiya, sabis ɗin na iya kare kwarararsa kuma sai isa kawai ya rage. Wannan matsala ce mafi ƙarama fiye da gina cibiyar sadarwa.

Mataki na 1: shin sabis ɗin yana kare kansa?

Wannan shine zaɓin da za a ɗauka idan ya dace, kuma yana dacewa fiye da yadda ƙungiyoyi suke tsammani. Rufin sabis ɗin yana rufe dukan hanyar tsakanin abokin ciniki da uwar garke, har da kowane tsalle a tsakiyar, wanda babu wani rami da ke kewaye da tsakiya da zai inganta. Saita sunan da ake tsammani da amincewa a fili maimakon dogaro da abin da ma'ajiyar tsohuwar abokin ciniki ta haɗu da shi.

Rufi da isa suna kasancewa daban-daban sarrafawa, kuma haɗa su shine inda wannan zaɓin ke kuskure. Sabis na TLS a kan mai sauraro na jama'a mara iyaka har yanzu yana karɓar ƙoƙarin haɗi daga kowa, don haka dole a iyakance mai sauraro da dokokin cibiyar sadarwa ba tare da la'akari da cewa an kare kaya ba. Sannan duba abubuwan dogaro, domin API a kan TLS ba ya faɗin komai game da wurin ganowa, tashar gudanarwa ko tashar canja wuri mai yawa da ke gefensa. Kowanne yana bukatar amsarsa, kuma ɗan'uwa ɗaya mara kariya ya isa ya mai da dukan iyakar tatsuniya.

Mataki na 2: shin tashar TCP ɗaya ce dukan bukata?

Lokacin da bukata ita ce tashar TCP ɗaya da gaske, turawa ita ce mafi ƙarancin abin da ke aiki. Turawa ta gida ta SSH tana ɗaukar wannan tashar ta hanyar haɗin da aka riga aka tabbatar da shi.

Siffar ita ce ssh -N -L 8443:127.0.0.1:8443 [email protected], kuma cikakken bayani mai muhimmanci shine adireshin manufa: 127.0.0.1 ana warware shi a ɓangaren nesa, don haka ana buɗe haɗin zuwa sabis ɗin daga bastion maimakon daga kwamfutar tafi-da-gidanka. Ɗaure mai sauraro na gida a ƙunci kamar -L 127.0.0.1:8443:... don kada ku buga sabis ɗin a cibiyar sadarwar gida ba da gangan ba. A ɓangaren uwar garke, iyakance abin da asusu zai iya turawa maimakon amincewa da kyawun halin abokin ciniki. PermitOpen, AllowTcpForwarding local da tsohuwar GatewayPorts no sune saituna uku da ke mai da relay na gama-gari tashar takamaimai.

Yarjejeniyar tana da ƙunci a duka ɓangarorin biyu. SSH yana kare tasharsa, kuma wani tsalle daga bastion zuwa wata aikace-aikace yana bukatar kariyarsa. Sabis ɗin da ke saurara kawai a kan loopback na bastion yana da fallasa mabambanta sosai da wanda ake isa ta wata cibiyar sadarwa, kuma turawa ba ta canza hakan. Riƙe tabbatarwa da duba TLS na aikace-aikacen a wurin maimakon ɗaukar ramin a matsayin maye gurbinsu.

Wannan yana aiki da kyau don haɗi ɗaya tare da mai shi ɗaya. A babban sikeli ya zama tsari: rikice-rikicen tashar gida, kulawa, juyar da maɓalli da tambayar wa zai sake kunna turawa bayan sake kunnawa.

Mataki na 3: shin sarrafa hanya shine ainihin bukata?

Wannan jerin shine gaskiyar farashin mafi ƙarancin zaɓi, kuma shi ne dalilin da ƙungiyoyi a ƙarshe suke maye gurbin 'yan umarnin baya da aka manta da wani abu da ake sarrafawa. Maye gurbin ba VPN ba ne kai tsaye. Idan bukata har yanzu tashar TCP ɗaya ce, turawa da ake kulawa tare da mai shi da aka rubuta ya fi arha a gudanar da shi fiye da murfi kuma yana kasawa a hanyoyin da za ku gani. Auna mallakar aiki kafin auna ladabi.

Sarrafa hanya ya zama amsar da ta dace lokacin da sarrafa hanya ita ce bukata. Aikace-aikace da yawa da ke bukatar haɗin IP na yau da kullum, yarjejeniyoyin da turawa TCP ba za ta iya ɗauka ba, ko sabis ɗin da ke ƙaura tsakanin masu masauki duk suna nuna hanya ɗaya.

Murfi yana ba ɗalibai adireshi da hanya, sannan ainihin aikin ya fara: jeri marasa haɗuwa, mallakar hanya, DNS, rajista, sokewa da abin da ke faruwa idan abokin tarayya ya ɓace. Babu ɗaya daga cikin waɗannan da ke zuwa tare da adireshin. Abokin tarayya da aka yarda a cikin murfin kuma ba a ba shi izini kai tsaye don kowane aiki a wurin da ake nufi ba, don haka tabbatarwa a matakin sabis tana kasancewa.

Abin da kuke mallaka bayan haka

Abubuwa biyu suna cikin rikodin da kuke bari. Na farko shine asalin da ake tsammanin abokin ciniki zai tabbatar, domin kowace daga waɗannan iyakokin tana raguwa a hankali da zarar an sassauta duba suna don sa wani abu ya yi aiki. Na biyu shine matakin cirewa: wace maɓalli, wace ka'ida ko wace hanya ce ke ɓacewa idan shiga ya ƙare, kuma wa zai yi shi.

Tafiya tana ƙare a inda ta fara, a sabis ɗin. Zaɓi iyakar da ke rufe ainihin zirga-zirga kuma tana tabbatar da abokan tarayya da kuka yi niyyar tabbatarwa, sannan rubuta yadda ake sabunta shiga, sa ido da cirewa. Bayanan OpenSSH shine wurin tabbatar da zaɓuɓɓukan turawa kafin ku yi alkawarin ƙaƙƙarfan yarjejeniya. Idan ba za ku iya kwatanta matakin cirewa a cikin jumla ɗaya ba, iyakar ta fi matsalar girma.