SSL VPN vagy TLS-burkoló? Hasonlítsa össze a határt, amely megbukott

Két terv is futtathat TLS-t a 443-as porton, és egészen mást jelenthet vele. A burkoló egy beállított kapcsolatot véd egy helyi port és egy távoli backend között. A hálózati hozzáférési terv kiválasztott forgalmat visz, és megváltoztatja, mit érhet el a kliens. Végezze el az alábbi négy ellenőrzést sorrendben, és tudni fogja, melyiket látja, ami általában elég ahhoz, hogy tudja, melyik réteg bukott meg.

Kezdje azzal a kapcsolattal, amelyet valóban beállított

Jegyezze fel az elülső és a hátsó oldalt, mielőtt termékeket hasonlít össze. A burkoló egy helyi címen figyel, és egy távolira továbbít, vagy programot indít a távoli oldalon, és ez a pár az egész szerződése. A kliens többi alkalmazása semmit sem tud róla, hacsak nem irányítja őket rá. Ez nem az eszköz hiányossága, erre való az eszköz.

A hálózati terv szerződése más, és útvonalakban és szabályzatban fejeződik ki, nem egy portpárban.

Figyelje meg, melyik leírás illik a diagramjához. Ha a válasz egy portleképezés középen tanúsítvánnyal, akkor burkolója van, akkor is, ha a termék neve VPN-t mond. Ha a válasz egy alagút-interfész és útvonalváltozások, akkor hálózati terve van, akkor is, ha a 443-on fut.

Ellenőrizze, mihez csatlakozik a burkoló

Olvassa el a figyelési és csatlakozási beállításokat, és kövesse őket a valódi backendig. Az adatbázis-portra továbbító burkoló nem nyit webalkalmazást, a programot indító burkoló pedig azt a programot indítja el, ahelyett hogy minden mást közzétenne, amit a gazdagép futtat. A backend az egyetlen, amit a burkoló ismer.

Ezután döntse el, hogy a továbbított adatfolyam egyszerű szöveg-e, amikor a TLS véget ér. A burkolt kapcsolat a két burkoló közötti szakaszt védi, és ami a távoli burkoló után történik, az külön kérdés. Ezért néha ésszerű olyasmit burkolni, ami már saját védelmet hordoz, néha viszont csak felesleges mozgó alkatrészek. Vizsgálja meg a következő ugrást, ahelyett hogy bármelyik választ feltételezné.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Az első parancs a kliensnek ténylegesen felajánlott tanúsítványt mutatja, a második pedig azt, hogy mi figyel a gazdagépen. Hasonlítsa össze ezt a tanúsítványnyal nevet a várt névvel, mielőtt bármi mást olvasna.

Ellenőrizze, milyen forgalmat visz a terv

A hálózati hozzáférési tervek kiválasztott forgalmat visznek, és integrálódnak a kliens útválasztásába és hozzáférési szabályzatába. A belépés nem engedélyezés, ezért egy hitelesített kapcsolatnak még mindig döntésre van szüksége arról, mely erőforrásokat érheti el. Az ügyfél nélküli portál a harmadik modell, amely a támogatott műveleteket proxyn keresztül végzi, anélkül hogy valaha tun interfészként megjelenne.

A termék címkéje nem árulja el, melyik modellt vásárolta, a portszám pedig még kevesebbet mond.

A rétegzés lehetséges, és nem zavarhatja össze az összehasonlítást. Egy alagútprotokoll maga is TLS-be csomagolható támogatott TCP-elrendezésben, ami réteget ad az alagút körül anélkül, hogy a burkolót alagúttá tenné. Ez saját teljesítmény- és hiba-viselkedésű tervezési döntés, és megérdemel egy sort a diagramban. Jegyezze fel, majd a mögöttes modelleket hasonlítsa össze, ne a külső burkolót.

A megbukó határt ellenőrizze, ne a címkét

Jegyezze fel egy sikertelen kísérlet tényeit: az elülső oldal címe, a figyelő, a kliens által ellenőrzött identitás, a backend célja és a kért művelet. A sikeres kézfogás bizonyítja, hogy a külső TLS befejeződött, és semmit sem mond a backendről. A backend elutasítása más esemény, mint az elülső oldal identitáshibája, és egyik sem javul attól, hogy eltávolítja a -verify_return_error-t a kliensből. Hasonlót hasonlóval mérjen össze, mert egy másik gépnév vagy port felé elért siker nem mutatja, hogy a feltételek ugyanazok voltak.

A 443-as port olyan konvenció, amely átengedi a TLS-t a köztes eszközökön. Nem teszi a tetszőleges forgalmat webkéréssé egy szabályzat-eszköz számára.

Egyetlen mondattal zárja: nevezze meg a végpontpárt, hogy mi halad, mely alkalmazások használják, és milyen engedélyt kényszerít ki a cél. A terv, amely nem tudja kitölteni ezt a négy hézagot, nincs kész, bármit is állít a címkéje. Ez a mondat a leggyorsabb módja annak is, hogy elmagyarázza a tervet a tűzfal tulajdonosának.