Տալիս է արդյոք TLS-փաթույթը ձեզ մասնավոր ցանց։ Սովորաբար ոչ

TLS-ը պաշտպանում է ալիքը երկու ծայրերի միջև և ոչինչ չի ասում այն մասին, թե ինչ ծառայություններ են ներսում։ Փաթույթը այդ ալիքը դարձնում է մեկ կարգավորված փոխանցիչ՝ մեկ լսողի համար, մեկ նպատակակետ։ SSL VPN անվանումով վաճառվող ապրանքը սովորաբար ավելացնում է ինտերֆեյս, երթուղային աղյուսակ և մուտքի մոդել նույն պրիմիտիվի շուրջ։ Երկուսը շփոթելն այն է, թե ինչպես աշխատող թունելը սխալմամբ ընդունվում է որպես ցանցային մուտք։

Ինչ է իրականում միացնում ծառայության փաթույթը

Փաթույթը լսում է տեղական պորտի վրա և այն, ինչ գալիս է, փոխանցում է կարգավորված նպատակակետին՝ լինի դա հոսթ և պորտ, թե տեղական ծրագիր։ Այդ նպատակակետն ընտրում է նա, ով գրել է կարգավորման ֆայլը՝ մեկ լսող մեկ անգամ։ Փաթեթի տեղադրումը չի ստեղծում ոչ մի երթուղի, վիրտուալ ինտերֆեյս կամ հասանելիություն որևէ բանի, ինչը բացահայտ նշված չէ։ Կարդացեք կարգավորումը փաթեթի նկարագրությունից առաջ, որովհետև նկարագրությունը ծածկում է օգտագործման դաս, իսկ ֆայլը՝ ձերը։

Այսպիսով, փաթույթի մասին օգտակար հարցը ոչ թե այն է, թե արդյոք այն գաղտնագրում է, այլ այն, թե ինչ է կանգնած իր կառուցած շղթայի յուրաքանչյուր ծայրում։

application -> local listener -> TLS connection -> remote listener -> configured backend

Կարդացեք այդ շղթան կարգավորումից, ոչ թե մարքեթինգային անվանումից։ Յուրաքանչյուր սլաք առանձին ցանցային թռիչք է՝ իր հասցեով և իր մուտքի կանոններով։

Գտեք, թե որտեղ է ավարտվում TLS ալիքը

Եթե փաթույթը վերջացնում է TLS-ը, ապա այն ամենը, ինչ նա փոխանցում է հետագա, նոր հատկություններով նոր միացում է։ Հոսքը կարող է բաց տեքստ լինել մասնավոր սեգմենտում, կամ իր ներսում կրել մեկ այլ պաշտպանված արձանագրություն։ Երկուսից որևէ մեկը ենթադրել առանց backend-ի կարգավորումը կարդալու հենց այն է, թե ինչպես մարդիկ եզրակացնում են, որ արտաքին շերտը պաշտպանում է տվյալներ, որ այլևս երբեք չի տեսնում։ Փոխանցված թռիչքն արժանի է իր սեփական ստուգմանը՝ իր հասցեում և պորտում։

Ստուգեք լսողին և backend-ը առանձին, որովհետև առջևի դռան մոտ հաջող ձեռքսեղմումը ոչինչ չի ասում դրա հետևում գտնվող ծառայության մասին։

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Առաջին հրամանը ցույց է տալիս, թե որ գործընթացն է տիրում պորտին և որ հասցեում է լսում։ Երկրորդը տպում է վկայականը, որը հաճախորդը փաստացի ստանում է, և դա այն ինքնության ստուգումն է, որը պորտի համարը չի կարող փոխարինել։

Ինչ է ավելացնում երթուղային VPN-ը, ինչը փաթույթը չի անում

Երթուղային VPN-ը տեղադրում է ինտերֆեյս, ստանձնում է ընտրված նախածանցների սեփականությունը և ինտեգրվում հոսթի երթուղավորման և մուտքի քաղաքականության հետ։ Մեքենայի յուրաքանչյուր հավելված օգուտ է ստանում՝ չիմանալով, որ թունելը գոյություն ունի։ Փաթույթը այդ հասանելիությունը տալիս է մեկ կարգավորված լսողի և կանգ է առնում այնտեղ։

Թույլատրումը կրկին առանձին է։ Հաճախորդին նույնականացնող VPN-ին դեռ պետք է լիազորում, որն ասում է, թե ինչ ռեսուրսների հաճախորդը կարող է հասնել, իսկ զուգընկերոջը նույնականացնող փաթույթին դեռ պետք է backend, որն իրականացնում է իր սեփական թույլտվությունները։

Կա օրինական համակցություն՝ VPN արձանագրություն, որը տեղափոխվում է TLS փաթույթի ներսում՝ դիտավորյալ աջակցվող TCP դասավորությամբ։ Սա շերտավորում է երկու շերտ և փաթույթն ու VPN-ը չի դարձնում նույն տեսակի օբյեկտ։

Համեմատեք այն սահմանը, որը ձախողվում է

Գրեք առջևի հատվածի հասցեն, լսողը, զուգընկերոջ ինքնությունը, backend-ի թիրախը և հավելվածի գործողությունը, նախքան որևէ բան փոխելը։ Այնուհետև համեմատեք համեմատելին. այլ հոսթանվան կամ պորտի միջոցով հաջողությունը չի ապացուցում, որ հրապատի և վկայականի պայմանները նույնն էին։

Մերժված backend հարցումը երբեք չպետք է ուղղվի առջևի ինքնության ստուգումը անջատելով։ Դա ախտորոշելի լիազորման խափանումը փոխանակում է ոչ ախտորոշելի վստահության խափանման հետ։

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Անվանումը ընտրված հասցեին ամրացնելը անվան լուծումը բաժանում է հասանելիությունից, և դա սովորաբար ամենաարագ միջոցն է հասկանալու, թե երկուսից որն է կոտրված։

Կարևոր համեմատությունը նշում է պաշտպանված ծայրակետերի զույգը, տեղափոխվող բեռը, այն օգտագործող հավելվածները և նպատակակետում կիրառվող թույլտվությունը։ TLS-ը նպաստում է այդ նկարագրությանը՝ չլրացնելով այն։