TLS VPN ընդդեմ IPsec-ի՝ հինգ դաշտ, որոնք արժե ստուգել
Համեմատեք TLS VPN-ը և IPsec VPN-ը թողարկման, արձանագրության տարբերակի, փաթեթի, գործընկերոջ ինքնության և բացահայտված շրջանակի, ինչպես նաև ձեր փաստացի կարգավորած խափանման արդյունքի հիման վրա։
TLS VPN-ները IPsec VPN-ների հետ արձանագրության ընտանիքով դասակարգելը պատասխանում է մի հարցի, որը ոչ ոք չի տվել, և սովորաբար հղում է մի կառուցվածքի, որից երկու ընտանիքներն էլ հրաժարվել են տարիներ առաջ։ Այն, ինչ վերանայողը իսկապես կարող է գնահատել, բանակցված պաշտպանությունն է, գործընկերոջ ինքնությունը, հաճախորդի մոդելը և բացահայտված ծառայությունը։ Այս չորսը տեսանելի են տեղաբաշխման մեջ, և ոչ մեկը չի բխում ապրանքի պիտակից։ Պահանջեք հինգ դաշտ, և զրույցը դառնում է կոնկրետ։
Հինգ դաշտ, և պիտակը դրանցից մեկը չէ
Առաջին դաշտը աջակցվող ծրագրային թողարկումն է, քանի որ առանց տարբերակի արձանագրության նկարագրությունը գրքույկ է։ Երկրորդը բանակցված արձանագրության տարբերակն է, որը որոշում է, թե որ կառուցվածքներն են ընդհանրապես հասանելի։ Երրորդը պաշտպանական փաթեթն է, չորրորդը՝ գործընկերոջ և օգտատիրոջ նույնականացման եղանակը, հինգերորդը՝ այն մուտքի շրջանակը, որը ապրանքը տալիս է ընդունելությունից հետո։
SSL VPN պիտակը ընդգրկում է առնվազն երեք տարբեր ապրանք՝ ամբողջական ցանցային հաճախորդ, հավելվածի վստահված սպասարկիչ և դիտարկիչի վրա հիմնված հին պորտալ։ Նրանք բացահայտում են տարբեր ծառայություններ և տարբեր կերպ են ձախողվում, ուստի պիտակը չի կարող փոխարինել շրջանակի դաշտին։
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
Ինչ է իրականում փոխում նույնականացված գաղտնագրումը
TLS 1.3-ը պահանջում է նույնականացված գաղտնագրում, ինչը հեռացնում է ավելի հին MAC-then-encrypt կառուցվածքը արձանագրությունից՝ այն ոչ թե թողնում է ընտրովի։ IPsec ESP-ն նույնքան երկար ունի նույնականացված գաղտնագրման փաթեթներ, իսկ AES-GCM-ը սահմանված է իր սեփական RFC-ում։ Երկու ընտանիքներում էլ երաշխիքը գալիս է բանակցված փաթեթից, ոչ թե ընտանիքի անունից, դրա համար էլ դաշտերի ցանկը սկսվում է տարբերակով։ Վերանայողը, որը չի կարող անվանել փաթեթը, գնահատելու ոչինչ չունի։
Դրա համար էլ պատմական համեմատությունը մոլորեցնում է։ Հին TLS տարբերակին CBC փաթեթով ամրացված տեղաբաշխումը և AEAD փաթեթով TLS 1.3 վազող տեղաբաշխումը նույն անվտանգության դիրքը չեն, թեև երկուսն էլ TLS VPN են։ Նույն բաժանումը IPsec-ի կողմում էլ կա ժամանակակից ESP փաթեթի և հին համակցության միջև։
Կարդացեք բանակցված արժեքները, ոչ թե այն կարգավորումը, որը մտադիր էիք։ Ստորև բերված հրամանները ցույց են տալիս, թե աշխատող վերջնակետը և աշխատող թունելը իրականում ինչի շուրջ համաձայնեցին։
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasԵթե վերջնակետը չի ուզում բանակցել TLS 1.3-ի շուրջ, դա հայտնաբերում է, ոչ թե նախապատվություն։ Եթե թունելը թվարկում է մի փաթեթ, որը չէիք սպասում, կարևոր կարգավորումը գործընկերների ընտրածն է, ոչ թե ձևանմուշում եղածը։
Գործընկերոջ ինքնությունը առանձին հարց է
Առանց ստուգված գործընկերոջ գաղտնագրումը պաշտպանում է երթևեկությունը դիտորդներից և այն հանձնում է նրան, ով պատասխանել է կապին։ Գործընկերոջ նույնականացումը հարցնում է, թե որ ինքնությունն է սպասվում, որ վստահության նյութն է հաստատում այն, և ինչպես է հաճախորդը վարվում, երբ պատասխանը չի համընկնում։ Վկայագրերի շղթան, ամրացված բանալին և նախապես համօգտագործված գաղտնիքը երեք տարբեր պատասխաններ են՝ երեք տարբեր գործառնական ծախսերով։
Ապա նույն հարցերը տվեք օգտատիրոջ կամ սարքի մասին։ Մուտքը, որը նույնականացնում է մեքենան և ընդունում ցանկացած օգտատիրոջ, կամ հակառակը, ունի որոշակի դիրքորոշում, որը պետք է գրի առնել, ոչ թե ենթադրել։ Ընդունելությունից հետո կիրառվող ռեսուրսների թույլտվությունները նույն դաշտի մասն են, քանի որ նույնականացումը լիազորում չէ։
Հոսթի անվան և վկայագրի ստուգումների պահպանումը ավելի կարևոր է, քան մուտքի պատուհանի ծանոթությունը։ Ստուգումն անտեսելու համար կարգավորված հաճախորդը հեռացրել է միակ քայլը, որն առանձնացնում է ձեր մուտքը համոզիչ նմանակումից։
Այն սահմանը, որը բացահայտում է ապրանքը
Առանց հաճախորդի պորտալը ընտրված հավելվածային գործողությունները վստահորդում է մուտքի միջով, ուստի օգտատերը հասնում է միջերեսի, ոչ թե ցանցի։ Ամբողջական թունելի հաճախորդը կրում է այն, ինչ ընտրում են նրա երթուղիներն ու զտման քաղաքականությունը, ինչը շատ ավելի մեծ մակերես է։ Երկուսը արձանագրության ուժով համեմատելը բաց է թողնում այն տարբերությունը, թե ինչի կարող է հասնել հարձակվողը դրանց միջով։ Մեկը բացահայտում է հավելվածի միջերես, մյուսը՝ երթուղավորված ցանց, և երկուսն էլ տարբեր վերանայումներ են պահանջում։
Հարցրեք, թե որ ծառայությունն է բացահայտված, որ գործողություններն են լիազորված և ինչի է լսում ինքը մուտքը։ Կառավարման միջերեսը, որը հասանելի է օգտատիրոջ պորտալի նույն հասցեից, տեղաբաշխման հայտնաբերում է, և ոչ մի արձանագրության ընտրություն չի փոխհատուցում դա։
Հավելվածով շրջանակը ավելի է նեղացնում մակերեսը և փոխում է նաև խափանման վարքը, երբ թունելը ընկնում է։ Դիզայնը, որը ենթադրում է ամբողջական թունելի հասանելիություն, կոտրվում է այնպես, ինչպես հավելվածային դիզայնը չգիտի, և աջակցության ծանրաբեռնվածությունը հետևում է։
Որոշեք խափանման արդյունքը և կյանքի ցիկլը
Ինչ է լինում, երբ նույնականացումը կամ պաշտպանությունը հասանելի չեն, քաղաքականության որոշում է, որը պատկանում է վերանայմանը։ Արգելափակված արդյունքը և չհայտարարված ուղղակի հետընթացը տարբեր հետևանքներ ունեն, և տարբերությունն անտեսանելի է հատկությունների ցանկում։ Նշեք նախատեսված վարքը այն ռեսուրսի կողքին, որը այն պաշտպանում է։
Ներառեք մուտքի կարկատանների և աջակցության կյանքի ցիկլը, դրա միացված արտաքին հատկությունները և հաճախորդների թարմացման ուղին։ Ճիշտ արձանագրության ընտրությունը վատ տեղաբաշխված ծառայությունը անվտանգ չի դարձնում, և միջադեպերի մեծ մասը ապրում է հենց այդ ճեղքում, ոչ թե փաթեթում։
Գրեք հինգ դաշտը, խափանման քաղաքականությունը և կյանքի ցիկլի պատասխանատուն մեկ էջում։ Այդ էջը վերանայում է. արձանագրության ընտանիքների համեմատությունը կարծիք է։