TLS VPN gegn IPsec: fimm sviðin sem eru þess virði að fara yfir

Að raða TLS VPN gegn IPsec VPN eftir samskiptaregluflokki svarar spurningu sem enginn spurði, og það vísar venjulega í smíði sem báðir flokkar hættu að nota fyrir árum. Það sem yfirferðaraðili getur í raun metið er samningsbundin vernd, auðkenni jafnings, biðlalalíkanið og útsetta þjónustan. Þessi fjögur atriði eru sýnileg í uppsetningu, og ekkert þeirra leiðir af vörumerkinu. Biddu um fimm svið og samtalið verður áþreifanlegt.

Fimm svið, og merkið er ekki eitt þeirra

Fyrsta sviðið er studd hugbúnaðarútgáfa, því samskiptareglulýsing án útgáfu er kynningarbæklingur. Annað er samningsbundin samskiptaregluútgáfa, sem ræður því hvaða smíði eru yfirhöfuð tiltækar. Þriðja er verndarsamstæðan, fjórða er auðkenningaraðferðin fyrir bæði jafning og notanda, og fimmta er aðgangsumfangið sem varan veitir eftir inntöku.

SSL VPN-merki nær yfir að minnsta kosti þrjár mismunandi vörur: fullan netbiðlara, forritasamsæri og gamaldags vafrastýrða gátt. Þær útsetja mismunandi þjónustur og bregðast mismunandi, svo merkið getur ekki komið í stað umfangssviðsins.

Hvað auðkennd dulkóðun breytir í raun

TLS 1.3 krefst auðkenndrar dulkóðunar, sem fjarlægir eldri MAC-then-encrypt-smíðina úr samskiptareglunni í stað þess að gera hana valfrjálsa. IPsec ESP hefur haft samstæður fyrir auðkennda dulkóðun jafn lengi, með AES-GCM skilgreint í eigin RFC. Í báðum flokkum kemur ábyrgðin frá samningsbundnu samstæðunni en ekki flokknafninu, og þess vegna byrjar sviðalistinn á útgáfu. Yfirferðaraðili sem getur ekki nefnt samstæðuna hefur ekkert að meta.

Þess vegna er sögulega samanburðurinn villandi. Uppsetning sem er fest við gamla TLS-útgáfu með CBC-samstæðu og önnur sem keyrir TLS 1.3 með AEAD-samstæðu eru ekki sama öryggisstaða, þótt báðar séu TLS VPN. Sama skiptingin er til á IPsec-hliðinni milli nútíma ESP-samstæðu og eldri samsetningar.

Lestu samningsbundnu gildin í stað stillingarinnar sem þú ætlaðir. Skipanalínurnar hér að neðan sýna hvað lifandi endapunktur og lifandi göng samþykktu í raun.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Ef endapunkturinn vill ekki semja um TLS 1.3 er það niðurstaða en ekki val. Ef göngin lista samstæðu sem þú bjóst ekki við, er stillingin sem skiptir máli sú sem jafningjarnir völdu, ekki sú í sniðmátinu.

Auðkenni jafnings er sérstök spurning

Dulkóðun án staðfests jafnings verndar umferðina frá áhorfendum og afhendir hana hverjum sem svaraði tengingunni. Auðkenning jafnings spyr hvaða auðkenni er búist við, hvaða traustsefni staðfestir það, og hvernig biðlarinn hagar sér þegar svarið passar ekki. Vottorðakeðja, festur lykill og fyrirfram deilt leyndarmál eru þrjú mismunandi svör með þremur mismunandi rekstrarkostnaði.

Spyrðu svo sömu spurninga um notandann eða tækið. Gátt sem auðkennir vélina og hleypir hverjum notanda inn, eða hið gagnstæða, hefur ákveðna stöðu sem ætti að skrifa niður frekar en að gera ráð fyrir. Auðlindheimildir sem eru notaðar eftir inntöku eru hluti af sama sviði, því auðkenning er ekki heimild.

Að varðveita hýsilnafns- og vottorðaathuganir skiptir meira máli en hversu kunnugleg innskráningargluggann er. Biðlari sem er stilltur til að hunsa staðfestingu hefur fjarlægt eina skrefið sem greinir gáttina þína frá sannfærandi eftirlíkingu.

Mörkin sem varan útsetur

Biðlalaus gátt umboðar valdar forritaaðgerðir í gegnum gáttina, svo notandinn nýtir viðmót en ekki net. Fullgöngubiðlari ber það sem leiðir hans og síunarstefna velja, sem er mun stærra yfirborð. Að bera þau tvö saman eftir samskiptareglustyrk missir af muninum á því hvað árásarmaður getur náð í gegnum þau. Annað útsetur forritaviðmót, hitt útsetur leiðsöguðu neti, og þau tvö krefjast mismunandi yfirferðar.

Spyrðu hvaða þjónusta er útsett, hvaða aðgerðir eru heimilaðar og hvað gáttin sjálf hlustar á. Stjórnviðmót sem er aðgengilegt frá sama vistfangi og notendagáttin er uppsetningarniðurstaða, og ekkert samskiptaregluval vegur það upp.

Umfang á hvert forrit þrengir yfirborðið frekar, og það breytir líka bilanatferðinni þegar göngin falla. Hönnun sem gerir ráð fyrir fullgöngudrægi mun brotna á vegu sem hönnun á hvert forrit gerir ekki, og stuðningsálagið fylgir.

Ákveddu bilanatvíkostinn og lífsferilinn

Hvað gerist þegar auðkenning eða vernd er ekki tiltæk er stefnuákvörðun sem á heima í yfirferðinni. Lokaður útkoma og ótilkynnt bein afturhvarf hafa mismunandi afleiðingar, og munurinn er ósýnilegur í eiginleikalista. Tilgreindu ætlaða hegðun við hlið auðlindarinnar sem hún verndar.

Hafðu með plástrar- og stuðningslífsferil gáttarinnar, virka ytri eiginleika hennar og uppfærsluleið biðlara. Rétt samskiptaregluval gerir illa uppsetta þjónustu ekki örugga, og flest atvik búa í því skarði frekar en í samstæðunni.

Skrifaðu fimm sviðin, bilanastefnuna og eiganda lífsferilsins á eina síðu. Þessi síða er yfirferð; samanburður á samskiptaregluflokkum er skoðun.