Færðu þér einkanet með TLS-umbúðum? Yfirleitt ekki

TLS verndar rás milli tveggja enda og segir ekkert um hvaða þjónustur liggja inni í henni. Umbúðir gera þá rás að einum stilltum framsendara, fyrir einn hlustanda, að einum áfangastað. Vara sem seld er sem SSL VPN bætir venjulega við viðmóti, leiðatöflu og aðgangslíkani í kringum sama frumefnið. Að rugla þessu tvennu saman er hvernig virk göng eru tekin fyrir netaðgang.

Hvað þjónustuumbúðir tengja í raun

Umbúðir hlusta á staðbundna gátt og senda það sem berst áfram til stillts áfangastaðar, hvort sem um er að ræða hýsil og gátt eða staðbundið forrit. Þann áfangastað velur sá sem skrifaði stillingarskrána, einn hlustandi í einu. Uppsetning pakkans býr ekki til leiðir, sýndarviðmót né aðgengi að neinu sem er ekki sérstaklega skráð. Lestu stillingarnar á undan lýsingu pakkans, því lýsingin nær yfir flokk notkunar og skráin nær yfir þína.

Þannig að gagnlega spurningin um umbúðir er ekki hvort þær dulkóði, heldur hvað stendur á hvorum enda keðjunnar sem þær byggja.

application -> local listener -> TLS connection -> remote listener -> configured backend

Lestu þá keðju úr stillingunum frekar en úr markaðsheitinu. Sérhver ör er sérstakt nettstökk með eigin vistfangi og eigin aðgangsreglum.

Finndu hvar TLS-rásin endar

Ef umbúðirnar ljúka TLS er allt sem þær senda áfram ný tenging með nýjum eiginleikum. Straumurinn getur verið látlaus texti á einkahluta, eða burður annars varins samskiptaregluverks inni í sér. Að gera ráð fyrir hvoru sem er án þess að lesa stillingar bakendans er hvernig fólk kemst að þeirri niðurstöðu að ytra lagið verndi gögn sem það sér aldrei aftur. Framsend stökkið á skilið eigin skoðun, á eigin vistfangi og gátt.

Athugaðu hlustandann og bakendann hvor fyrir sig, því handaband sem tekst við framhurðina segir ekkert um þjónustuna þar fyrir aftan.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Fyrsta skipunin sýnir hvaða ferli á gátina og á hvaða vistfang það hlustar. Önnur prentar skírteinið sem biðlarinn fær í raun, og það er auðkenningin sem gáttarnúmer getur ekki komið í staðinn fyrir.

Hvað beint VPN bætir við sem umbúðir gera ekki

Beint VPN setur upp viðmót, tekur yfir valin forskeyti og samþættist leiðsögn og aðgangsstefnu hýsilsins. Sérhvert forrit á vélinni hefur gagn af því án þess að vita að göngin séu til. Umbúðir gefa það drægi einum stilltum hlustanda og stöðva þar.

Innlögn er aftur sér. VPN sem auðkennir biðlara þarf samt heimild sem segir hvaða auðlindir biðlarinn má ná til, og umbúðir sem auðkenna jafningja þurfa samt bakenda sem framfylgir eigin heimildum.

Það er lögmæt samsetning: VPN-samskiptaregluverk borið inni í TLS-umbúðum á viljandi studdu TCP-fyrirkomulagi. Það staflar tveimur lögum og gerir umbúðirnar og VPN-ið ekki að sömu tegund hlutar.

Berðu saman það mark sem bregst

Skrifaðu niður vistfang framenda, hlustandann, auðkenni jafnings, mark bakendans og aðgerð forritsins áður en þú breytir nokkru. Berðu svo saman sambærilegt: árangur í gegnum annað hýsilheiti eða gátt sannar ekki að skilyrði eldveggjarins og skírteinisins hafi verið þau sömu.

Hafnaðri beiðni til bakendans ætti aldrei að laga með því að slökkva á auðkenningu framendans. Það skiptir greinanlegri heimildarbilun út fyrir ógreinanlega traustbilun.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Að festa heitið við valið vistfang aðskilur heitalausn frá aðgengi, og það er venjulega fljótlegasta leiðin til að sjá hvort tveggja er bilað.

Samanburðurinn sem skiptir máli nefnir verndaða endapunkta parið, burðinn sem fluttur er, forritin sem nota hann og heimildina sem framfylgt er á áfangastaðnum. TLS leggur sitt af mörkum til þeirrar lýsingar án þess að ljúka henni.