SSL VPN, թե TLS փաթաթան. Համեմատեք ձախողված սահմանը

Երկու նախագիծ կարող է TLS աշխատեցնել 443 պորտի վրա և դրանով բոլորովին տարբեր բաներ նշանակել։ Փաթաթան պաշտպանում է մեկ կարգավորված կապ տեղական պորտի և հեռավոր backend-ի միջև։ Ցանցային հասանելիության նախագիծը փոխանցում է ընտրված երթևեկություն և փոխում է, թե ինչին կարող է հասնել սպասարկողը։ Կատարեք ստորև նշված չորս ստուգումները հերթականությամբ և կիմանաք, թե որին եք նայում, ինչը սովորաբար բավական է հասկանալու, թե որ շերտը ձախողվեց։

Սկսեք այն կապից, որը դուք իրականում կարգավորել եք

Գրեք առջևի և հետևի ծայրերը, նախքան ապրանքները համեմատելը։ Փաթաթան լսում է տեղական հասցեում և փոխանցում է հեռավորին, կամ ծրագիր է սկսում հեռավոր կողմում, և այդ զույգը նրա ամբողջ պայմանագիրն է։ Սպասարկողի մյուս հավելվածները ոչինչ չգիտեն դրա մասին, եթե դուք դրանք չուղղորդեք դրան։ Սա գործիքի թերությունը չէ, գործիքը հենց դրա համար է։

Ցանցային նախագծի պայմանագիրն այլ է, և արտահայտվում է ուղիներով և քաղաքականությամբ, ոչ թե պորտերի զույգով։

Ուշադրություն դարձրեք, թե այդ երկու նկարագրերից որն է համապատասխանում ձեր գծագրին։ Եթե պատասխանը մեկ պորտի քարտեզագրում է՝ մեջտեղում վկայականով, ապա դուք ունեք փաթաթան, նույնիսկ երբ ապրանքի անունը VPN է ասում։ Եթե պատասխանը թունելի ինտերֆեյսն ու երթուղիների փոփոխություններն են, ապա դուք ունեք ցանցային նախագիծ, նույնիսկ երբ այն աշխատում է 443-ի վրա։

Ստուգեք, թե ինչին է միանում փաթաթան

Կարդացեք լսելու և միանալու կարգավորումները և հետևեք դրանց մինչև իրական backend-ը։ Տվյալների բազայի պորտին փոխանցող փաթաթան վեբ հավելված չի բացում, իսկ ծրագիր գործարկող փաթաթան սկսում է հենց այդ ծրագիրը՝ հոսթի մյուս ամեն ինչը հրապարակելու փոխարեն։ Backend-ը միակ բանն է, ինչ փաթաթան գիտի։

Այնուհետև որոշեք՝ փոխանցվող հոսքը բաց տեքստ է արդյոք TLS-ի ավարտից հետո։ Փաթաթված կապը պաշտպանում է երկու փաթաթանների միջև ընկած հատվածը, և այն, ինչ տեղի է ունենում հեռավոր փաթաթանից հետո, առանձին հարց է։ Այդ պատճառով արդեն իսկ սեփական պաշտպանություն ունեցող բան փաթաթելը երբեմն խելամիտ է, երբեմն՝ ընդամենը ավելորդ շարժվող մասեր։ Ստուգեք հաջորդ քայլը՝ փոխարենը ենթադրելու երկու պատասխաններից որևէ մեկը։

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Առաջին հրամանը ցույց է տալիս այն վկայականը, որն իրականում առաջարկվում է սպասարկողին, իսկ երկրորդը՝ թե ինչ է լսում հոսթի վրա։ Համեմատեք այդ վկայականի անունը ձեր սպասածի հետ, նախքան որևէ այլ բան կարդալը։

Ստուգեք, թե ինչ երթևեկություն է կրում նախագիծը

Ցանցային հասանելիության նախագծերը կրում են ընտրված երթևեկություն և ինտեգրվում են սպասարկողի երթուղման և հասանելիության քաղաքականության հետ։ Ընդունումը թույլտվություն չէ, այնպես որ վավերացված կապը դեռ պետք է որոշում, թե որ ռեսուրսներին կարող է հասնել։ Առանց սպասարկողի պորտալը երրորդ մոդելն է, որը միջնորդում է աջակցվող գործողությունները՝ երբեք չհայտնվելով որպես tun ինտերֆեյս։

Ապրանքի պիտակը չի ասում, թե այդ մոդելներից որն եք գնել, իսկ պորտի համարը՝ ավելի քիչ։

Շերտավորումը հնարավոր է և չպետք է խառնի համեմատությունը։ Թունելի արձանագրությունն ինքը կարող է փաթաթվել TLS-ով աջակցվող TCP դասավորության մեջ, ինչը շերտ է ավելացնում թունելի շուրջ՝ փաթաթանը թունել չդարձնելով։ Սա նախագծային ընտրություն է՝ իր աշխատանքի և ձախողման վարքով, և արժանի է մեկ տողի գծագրում։ Գրանցեք այն, ապա համեմատեք հիմնական մոդելները, ոչ թե արտաքին փաթաթանը։

Ստուգեք ձախողված սահմանը, ոչ թե պիտակը

Գրեք մեկ ձախողված փորձի փաստերը՝ առջևի ծայրի հասցեն, լսողը, այն ինքնությունը, որը սպասարկողը ստուգել է, backend-ի նպատակը և պահանջված գործողությունը։ Հաջող ձեռքսեղմումը ապացուցում է, որ արտաքին TLS-ը ավարտվել է և ոչինչ չի ասում backend-ի մասին։ Backend-ի մերժումը տարբեր իրադարձություն է առջևի ծայրի ինքնության ձախողումից, և ոչ մեկը չի լավանում սպասարկողից -verify_return_error-ը հանելով։ Համեմատեք նմանը նմանով, որովհետև մեկ այլ հոսթի անունով կամ պորտով հաջողությունը չի ցույց տալիս, որ պայմանները նույնն էին։

443 պորտը պայմանականություն է, որը թույլ է տալիս TLS-ին անցնել միջին արկղերով։ Այն կամայական երթևեկությունը վեբ հարցում չի դարձնում քաղաքականության սարքի համար։

Ավարտեք մեկ նախադասությամբ, որը նշում է վերջնակետերի զույգը, թե ինչ է կրում, որ հավելվածներն են օգտագործում այն և ինչ թույլտվություն է պարտադրում նպատակակետը։ Նախագիծը, որը չի կարող լրացնել այդ չորս դատարկությունները, ավարտված չէ, ինչ էլ որ պնդի իր պիտակը։ Այդ նախադասությունը նաև ամենաարագ ձևն է բացատրելու նախագիծը նրան, ով տիրապետում է հրակային պատին։