Ad-e a TLS-burkoló privát hálózatot? Általában nem

A TLS két végpont között véd egy csatornát, és semmit nem mond arról, milyen szolgáltatások ülnek benne. A burkoló ezt a csatornát egyetlen konfigurált továbbítóvá teszi, egy hallgatóhoz, egy célhoz. Az SSL VPN néven árult termék általában felületet, útválasztási táblát és hozzáférési modellt ad ugyanazon primitív köré. A kettő összekeverése az, ahogy egy működő alagutat hálózati hozzáférésnek néznek.

Mit köt össze valójában egy szolgáltatásburkoló

A burkoló egy helyi porton figyel, és a beérkezőt egy konfigurált célra továbbítja, legyen az hoszt és port vagy helyi program. Ezt a célt az választja, aki a konfigurációs fájlt írta, egyszerre egy hallgatót. A csomag telepítése nem hoz létre útvonalakat, virtuális felületet és elérést semmihez, ami nincs kifejezetten felsorolva. A konfigurációt a csomag leírása előtt olvassa el, mert a leírás egy használati osztályt fed le, a fájl pedig az önét.

A burkolóról szóló hasznos kérdés tehát nem az, hogy titkosít-e, hanem hogy mi áll az általa épített lánc mindkét végén.

application -> local listener -> TLS connection -> remote listener -> configured backend

Ezt a láncot a konfigurációból olvassa ki, ne a marketingnévből. Minden nyíl külön hálózati ugrás a saját címével és saját hozzáférési szabályaival.

Keresse meg, hol végződik a TLS-csatorna

Ha a burkoló lezárja a TLS-t, minden, amit továbbít, új tulajdonságokkal rendelkező új kapcsolat. Az adatfolyam lehet sima szöveg egy privát szegmensen, vagy hordozhat magában egy másik védett protokollt. Bármelyiket feltételezni a backend konfigurációjának elolvasása nélkül az az út, ahogy az emberek arra jutnak, hogy a külső réteg olyan adatot véd, amelyet soha többé nem lát. A továbbított ugrás saját vizsgálatot érdemel, a saját címén és portján.

A hallgatót és a backendet külön ellenőrizze, mert a bejárati ajtónál sikeres kézfogás semmit nem mond a mögötte lévő szolgáltatásról.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Az első parancs megmutatja, melyik folyamat birtokolja a portot, és melyik címen figyel. A második kinyomtatja a tanúsítványt, amelyet az ügyfél valóban kap, és ez az az identitásellenőrzés, amelyet egy portszám nem pótolhat.

Mit ad hozzá a route-olt VPN, amit a burkoló nem

A route-olt VPN felületet telepít, kisajátítja a kiválasztott prefixeket, és integrálódik a hoszt útválasztásába és hozzáférési szabályzatába. A gépen minden alkalmazás profitál anélkül, hogy tudna az alagútról. A burkoló ezt az elérést egyetlen konfigurált hallgatónak adja, és ott megáll.

A beengedés megint külön kérdés. Az ügyfelet hitelesítő VPN-nek továbbra is kell engedélyezés, amely megmondja, mely erőforrásokat érhet el az ügyfél, a partnert hitelesítő burkolónak pedig továbbra is kell backend, amely a saját jogosultságait érvényesíti.

Létezik legitim kombináció: egy VPN-protokoll, amelyet TLS-burkolón belül, szándékosan támogatott TCP-elrendezésen visznek át. Ez két réteget rétegez egymásra, és nem teszi a burkolót és a VPN-t azonos típusú objektummá.

Hasonlítsa össze a határt, amely kudarcot vall

Jegyezze fel az előoldali címet, a hallgatót, a partner identitását, a backend célját és az alkalmazás műveletét, mielőtt bármit módosítana. Utána hasonlítsa össze a hasonlíthatót: egy másik hosztnéven vagy porton át elért siker nem bizonyítja, hogy a tűzfal és a tanúsítvány feltételei azonosak voltak.

Egy elutasított backend-kérést soha nem szabad az előoldali identitásellenőrzés kikapcsolásával megjavítani. Az diagnosztizálható engedélyezési hibát cserél diagnosztizálhatatlan bizalmi hibára.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

A név kiválasztott címhez rögzítése elválasztja a névfeloldást az elérhetőségtől, és ez általában a leggyorsabb módja annak megállapítására, melyik a kettő közül hibás.

A fontos összehasonlítás megnevezi a védett végpontpárt, a szállított terhelést, az azt használó alkalmazásokat és a célon érvényesített engedélyt. A TLS hozzájárul ehhez a leíráshoz, de nem teszi teljessé.