SSL VPN atau pembungkus TLS? Bandingkan batas yang gagal

Dua desain bisa menjalankan TLS pada port 443 dan berarti hal yang sangat berbeda. Pembungkus melindungi satu koneksi yang dikonfigurasi antara port lokal dan backend jarak jauh. Desain akses jaringan membawa lalu lintas terpilih dan mengubah apa yang bisa dijangkau klien. Kerjakan empat pemeriksaan di bawah secara berurutan dan Anda akan tahu mana yang sedang Anda lihat, yang biasanya cukup untuk tahu lapisan mana yang gagal.

Mulailah dari koneksi yang benar-benar Anda konfigurasi

Catat ujung depan dan ujung belakang sebelum membandingkan produk. Pembungkus mendengarkan pada alamat lokal dan meneruskan ke alamat jauh, atau menjalankan program di sisi jauh, dan pasangan itulah seluruh kontraknya. Aplikasi lain milik klien tidak tahu apa-apa tentangnya kecuali Anda mengarahkannya ke sana. Itu bukan kekurangan alat, itulah tujuan alat.

Kontrak desain jaringan berbeda, dan dinyatakan dalam rute dan kebijakan, bukan dalam pasangan port.

Perhatikan mana dari dua deskripsi itu yang cocok dengan diagram Anda. Jika jawabannya satu pemetaan port dengan sertifikat di tengah, Anda punya pembungkus meski nama produk menyebut VPN. Jika jawabannya antarmuka terowongan dan perubahan rute, Anda punya desain jaringan meski berjalan di 443.

Periksa ke apa pembungkus terhubung

Baca pengaturan mendengarkan dan menyambung lalu ikuti sampai ke backend sebenarnya. Pembungkus yang meneruskan ke port basis data tidak membuka aplikasi web, dan pembungkus yang menjalankan program memulai program itu alih-alih menerbitkan semua hal lain yang dijalankan host. Backend adalah satu-satunya hal yang diketahui pembungkus.

Lalu putuskan apakah aliran yang diteruskan berupa teks biasa setelah TLS berakhir. Koneksi terbungkus melindungi segmen antara dua pembungkus, dan apa yang terjadi setelah pembungkus jauh adalah pertanyaan terpisah. Karena itu membungkus sesuatu yang sudah membawa perlindungannya sendiri kadang masuk akal dan kadang hanya bagian bergerak tambahan. Periksa lompatan berikutnya alih-alih menganggap salah satu jawaban.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Perintah pertama menunjukkan sertifikat yang benar-benar ditawarkan kepada klien, dan yang kedua menunjukkan apa yang mendengarkan di host. Bandingkan nama sertifikat itu dengan yang Anda harapkan sebelum membaca hal lain.

Periksa lalu lintas apa yang dibawa desain

Desain akses jaringan membawa lalu lintas terpilih dan terintegrasi dengan perutean dan kebijakan akses klien. Penerimaan bukan otorisasi, jadi koneksi yang terautentikasi masih butuh keputusan tentang sumber daya mana yang boleh dijangkau. Portal tanpa klien adalah model ketiga yang memproksikan operasi yang didukung tanpa pernah muncul sebagai antarmuka tun.

Label produk tidak memberi tahu model mana yang Anda beli, dan nomor port memberi tahu lebih sedikit lagi.

Pelapisan mungkin dan tidak boleh mengaburkan perbandingan. Protokol terowongan itu sendiri bisa dibungkus TLS dalam susunan TCP yang didukung, yang menambah lapisan di sekitar terowongan tanpa mengubah pembungkus menjadi terowongan. Itu pilihan desain dengan perilaku kinerja dan kegagalannya sendiri, dan layak mendapat satu baris di diagram. Catatlah, lalu bandingkan model dasarnya, bukan pembungkus luarnya.

Periksa batas yang gagal, bukan labelnya

Catat fakta untuk satu percobaan yang gagal: alamat ujung depan, pendengar, identitas yang diverifikasi klien, target backend, dan operasi yang diminta. Jabat tangan yang berhasil membuktikan TLS luar selesai dan tidak mengatakan apa pun tentang backend. Penolakan backend adalah peristiwa berbeda dari kegagalan identitas di ujung depan, dan keduanya tidak membaik dengan menghapus -verify_return_error dari klien. Bandingkan yang sebanding, karena keberhasilan melalui nama host atau port lain tidak menunjukkan bahwa kondisinya sama.

Port 443 adalah konvensi yang membiarkan TLS melewati perangkat perantara. Itu tidak membuat lalu lintas sembarang menyerupai permintaan web bagi perangkat kebijakan.

Akhiri dengan satu kalimat yang menyebut pasangan titik akhir, apa yang dibawa, aplikasi mana yang memakainya, dan izin apa yang ditegakkan tujuan. Desain yang tidak bisa mengisi keempat rongga itu belum selesai, apa pun yang diklaim labelnya. Kalimat itu juga cara tercepat menjelaskan desain kepada siapa pun yang memiliki firewall.