Hvernig opinber milliþjónn nær einkareknum uppruna í gegnum VPN

Að gefa út vefsíðu í gegnum göng og veita notendum VPN-aðgang eru tvö ólík fyrirkomulag sem deila sama kaplinum. Í því fyrra tekur opinber öfugur milliþjónn við beiðni gestarins og sendir hana í gegnum göngin til uppruna sem enginn getur náð beint. Í því síðara verður notandinn að ganga í VPN áður en forritið er yfirleitt aðgengilegt. Að blanda þessum tveimur lýsingum saman er leiðin sem einkarekin bakhlið endar á að verða opinberlega afhjúpuð.

Tvö líkön sem líta eins út á skýringarmynd

Teiknið örvarnar áður en þið veljið eitthvað. Opinbert útgáfulíkan fer frá vafra til milliþjóns yfir HTTPS, síðan frá milliþjóni til uppruna í gegnum göngin, og uppruninn tekur aldrei við tengingu frá internetinu. Líkan sem byggir eingöngu á VPN fer frá biðlara til gáttar, og forritið er aðeins aðgengilegt innan frá þeirri leið. Fartölva notandans situr á sama neti og forritið, og það er allur tilgangurinn með því líkani.

Líkönin eru ólík að því hver sannvottar og hvar. Í því fyrra er milliþjónninn opinberi inngangurinn og hann sendir áfram hverja beiðni sem berst, jafnvel fjandsamlega, samkvæmt stefnunni sem stillt er á hann. Í því síðara er aðgengið sjálft gáttin, sem er gróft en raunverulegt aðgengi.

Hvar TLS stoppar, og hvað það sannar í raun

TLS milli vafra og milliþjóns verndar það stökk og gerir vafranum kleift að sannreyna síðuna sem hann ætlaði að heimsækja. Ef milliþjónninn lýkur TLS er beiðnin til í læsilegu formi inni í því ferli áður en henni er sent áfram. Önnur TLS-lota til upprunans getur verndað næsta stökk og sannreynt endapunkt forritsins sérstaklega. Engin lotanna ákveður hvaða manneskja má nota forritið. Wildcard-vottorð á milliþjónnum nær heldur ekki til þess annars stökks.

Þetta er hlutinn sem fólk þjappar saman í orðið dulkóðað. Trúnaður, heilleiki og auðkenni þjóns eru eiginleikar flutnings; heimild er ákvörðun forritsins. Einkaheimilisfang bak við göng breytir hver getur náð í sambandið, ekki hver má skrá sig inn þegar þangað er komið.

Treystið aðeins hausum sem berast frá milliþjónnum

Forrit sem skrá eða heimila út frá heimilisfangi biðlarans lesa venjulega haus sem milliþjónninn bætir við. Sá haus er bara texti, svo allt sem getur náð beint til upprunans getur krafist hvaða heimilisfangs sem er. Takmarkið upprunann þannig að aðeins gönguheimilisfang milliþjónsins geti tengst, og stillið forritið til að samþykkja hausinn aðeins frá því heimilisfangi.

curl -s -o /dev/null -w '%{http_code}
' -H 'X-Forwarded-For: 203.0.113.9' http://172.20.5.40/

Ef sú beiðni heppnast frá vél sem er ekki milliþjónninn, treystir uppruninn haus sem hann ætti að hunsa. Lagaðu hlustarann áður en þú snertir forritið. Synjun er miklu betri niðurstaða en lóglína sem ber fölsuðu heimilisfangi.

Haldið upprunanum aðgengilegum frá nákvæmlega einum stað

Bindið hlustara upprunans við gönguheimilisfangið eða girðið hann með eldvegg að milliþjónnum, og staðfestið síðan hvað er í raun að hlusta. Þjónusta sem er ræst með wildcard-bindingu tekur við tengingum á hverju netkorti sem vélin hefur, þar á meðal einu sem þið gleymduð að væri beinanlegt. Hlustunartaflan er undirstöðusannleikurinn, ekki stillingarskráin sem þið ætluðuð að beita. Ef wildcard-bindingin er viljandi verður eldveggurinn samt að vera sá hluti sem þrengir hana.

ss -ltnp | grep -E ':(80|443)'

Gerið sömu yfirferð fyrir stjórnendaviðmót, sem eru venjulega tilviljunarkennd afhjúpunin. Skrifið síðan líkönin tvö niður sér: opinbera síðan í gegnum milliþjóninn, og stjórnendaviðmótið sem er aðeins aðgengilegt í gegnum göngin. Setningin um að þjónninn sé bak við VPN segir ekkert af þessu.