SSL VPN eða TLS-umbúðir? Berið saman mörkin sem brugðust

Tvær hönnun geta keyrt TLS á porti 443 og þýtt með því gjörólíka hluti. Umbúðir vernda eina stillta tengingu milli staðbundinnar portar og fjarlægs bakends. Hönnun netaðgangs flytur valda umferð og breytir því hvað biðlarinn getur náð til. Farðu í gegnum fjórar athuganirnar hér að neðan í röð og þú munt vita hvora þú ert að skoða, sem er venjulega nóg til að vita hvaða lag brást.

Byrjaðu á tengingunni sem þú stilltir í raun

Skrifaðu niður fram- og bakhliðina áður en þú berð saman vörur. Umbúðir hlusta á staðbundið vistfang og senda áfram til fjarlægs, eða ræsa forrit á fjarlægu hliðinni, og það par er allur samningur þeirra. Önnur forrit biðlarans vita ekkert um þær nema þú beinir þeim að þeim. Það er ekki galli verktækisins, það er tilgangur þess.

Samningur netkerfishönnunar er annar og kemur fram í leiðum og stefnu, ekki í portpari.

Taktu eftir hvora lýsingunni passar við skýringarmyndina þína. Ef svarið er eitt portkortlagning með skírteini í miðjunni, hefurðu umbúðir jafnvel þótt vörunaheitið segi VPN. Ef svarið er göngutengi og leiðabreytingar, hefurðu netkerfishönnun jafnvel þótt hún keyri á 443.

Athugaðu við hvað umbúðirnar tengjast

Lestu hlustunar- og tengistillingarnar og fylgdu þeim að raunverulega bakendinum. Umbúðir sem senda áfram á gagnagrunnsport opna ekki vefforrit, og umbúðir sem keyra forrit ræsa það forrit í stað þess að birta allt annað sem hýsilinn keyrir. Bakendinn er það eina sem umbúðirnar þekkja.

Ákveddu svo hvort framsendi straumurinn sé hreinn texti þegar TLS lýkur. Umbúðin tenging verndar hluta milli tveggja umbúða, og það sem gerist eftir fjarlægu umbúðirnar er sérstök spurning. Þess vegna er stundum skynsamlegt að umbúða eitthvað sem ber þegar eigin vernd og stundum bara auka hreyfanlegir hlutar. Skoðaðu næsta stökk í stað þess að gera ráð fyrir hvorugu svarinu.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Fyrsta skipunin sýnir skírteinið sem biðlaranum er í raun boðið, og önnur sýnir hvað hlusta á hýsilnum. Berðu það skírteinisnafn saman við það sem þú bjóst við áður en þú lest eitthvað annað.

Athugaðu hvaða umferð hönnunin flytur

Hönnun netaðgangs flytur valda umferð og samþættist leiðsögn og aðgangsstefnu biðlarans. Innganga er ekki heimild, svo auðkennd tenging þarf enn ákvörðun um hvaða auðlindir hún má ná til. Gátt án biðlara er þriðja líkanið sem milliliðar studdar aðgerðir án þess að birtast nokkurn tíma sem tun viðmót.

Vörumerkið segir þér ekki hvaða líkan þú keyptir, og portnúmerið segir enn minna.

Lagskipting er möguleg og ætti ekki að rugla samanburðinn. Göngusamskiptareglur geta sjálfar verið umbúðar í TLS í studdri TCP skipan, sem bætir lagi utan um göngin án þess að gera umbúðirnar að göngunum. Það er hönnunarákvörðun með eigin afköstum og bilanatferli, og hún á skilið línu í skýringarmyndinni. Skráðu hana og berðu svo saman undirliggjandi líkönin, ekki ytri umbúðirnar.

Athugaðu mörkin sem brugðust, ekki merkið

Skrifaðu niður staðreyndir fyrir eina misheppnaða tilraun: vistfang framhliðar, hlustandinn, auðkennið sem biðlarinn staðfesti, mark bakendsins og aðgerðina sem beðið var um. Heppileg handaband sannar að ytra TLS lauk og segir ekkert um bakendann. Höfnun bakendsins er annar atburður en auðkennisbrestur á framhlið, og hvorugt batnar við að fjarlægja -verify_return_error úr biðlaranum. Berðu saman sambærilegt við sambærilegt, því árangur gegnum annað hýsilnafn eða port sýnir ekki að skilyrðin hafi verið þau sömu.

Port 443 er venja sem hleypir TLS gegnum millibox. Hún gerir ekki handahófskennda umferð líka veffyrirspurn fyrir stefnutæki.

Ljúktu með einni setningu sem nefnir endapunkta parið, hvað er flutt, hvaða forrit nota það og hvaða heimild áfangastaðurinn framfylgir. Hönnun sem getur ekki fyllt þessi fjögur eyður er ekki fullgerð, hvað sem merkið hennar segir. Sú setning er líka fljótlegasta leiðin til að útskýra hönnunina fyrir þeim sem á eldvegginn.