SSL VPN әлде TLS қабығы ма? Сәтсіз болған шекараны салыстырыңыз

Екі жоба TLS-ті 443 портында іске қосып, онымен мүлдем басқа нәрсені білдіруі мүмкін. Қабық бір конфигурацияланған қосылымды қорғайды жергілікті порт пен қашықтағы backend арасында. Желілік қатынас жобасы таңдалған трафикті тасымалдайды және клиенттің қайда жете алатынын өзгертеді. Төмендегі төрт тексеруді ретімен орындаңыз, сонда қайсысын көріп тұрғаныңызды білесіз, бұл әдетте қай қабаттың сәтсіз болғанын білуге жетеді.

Шынымен конфигурациялаған қосылымнан бастаңыз

Өнімдерді салыстырмас бұрын алдыңғы және артқы жақты жазып алыңыз. Қабық жергілікті мекенжайдан тыңдап, қашықтағы мекенжайға жібереді немесе қашық жақта бағдарлама іске қосады, және сол жұп оның бүкіл шарты. Клиенттің басқа қосымшалары бұл туралы ештеңе білмейді, егер сіз оларды оған бағыттамасаңыз. Бұл құралдың кемшілігі емес, құрал осы үшін жасалған.

Желілік жобаның шарты басқа және ол порт жұбында емес, маршруттар мен саясатта көрінеді.

Осы екі сипаттаманың қайсысы сызбаңызға сәйкес келетінін байқаңыз. Жауап ортасында сертификаты бар бір портты сәйкестендіру болса, өнім атауы VPN десе де, сізде қабық бар. Жауап туннель интерфейсі мен маршрут өзгерістері болса, ол 443-те жұмыс істесе де, сізде желілік жоба бар.

Қабықтың неге қосылатынын тексеріңіз

Тыңдау және қосылу параметрлерін оқып, оларды нақты backend-ке дейін қадағалаңыз. Дерекқор портына жіберетін қабық веб-қосымшаны ашпайды, ал бағдарламаны іске қосатын қабық хосттың қалған барлығын жариялаудың орнына сол бағдарламаны іске қосады. Backend — қабық білетін жалғыз нәрсе.

Содан кейін TLS аяқталғаннан кейін жіберілетін ағын ашық мәтін бе, соны шешіңіз. Қабықпен қапталған қосылым екі қабық арасындағы кесіндіні қорғайды, ал алыс қабықтан кейін болатын нәрсе бөлек мәселе. Сондықтан өз қорғанысы бар нәрсені қаптау кейде орынды, кейде жай ғана артық қозғалатын бөлшектер. Екі жауаптың бірін болжаудың орнына келесі қадамды тексеріңіз.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Бірінші пәрмен клиентке шынында ұсынылатын сертификатты көрсетеді, екіншісі хостта ненің тыңдап тұрғанын көрсетеді. Басқа нәрсені оқымас бұрын сол сертификат атауын күткен атауыңызбен салыстырыңыз.

Жобаның қандай трафикті тасымалдайтынын тексеріңіз

Желілік қатынас жобалары таңдалған трафикті тасымалдайды және клиенттің маршруттауы мен қатынас саясатымен біріктіріледі. Рұқсат ету авторизация емес, сондықтан аутентификацияланған қосылымға әлі де қай ресурстарға жете алатыны туралы шешім қажет. Клиентсіз портал — қолдау көрсетілетін операцияларды проксилейтін, бірақ ешқашан tun интерфейсі ретінде көрінбейтін үшінші модель.

Өнім белгісі қай модельді сатып алғаныңызды айтпайды, ал порт нөмірі одан да аз айтады.

Қабаттау мүмкін және салыстыруды шатастырмауы керек. Туннель протоколының өзін қолдау көрсетілетін TCP орналасуында TLS-ке орауға болады, бұл туннельдің айналасына қабат қосады, бірақ қабықты туннельге айналдырмайды. Бұл өз өнімділігі мен ақаулық тәртібі бар дизайн шешімі және диаграммада бір жолға лайық. Оны жазып алыңыз, содан кейін сыртқы қабықты емес, негізгі модельдерді салыстырыңыз.

Сәтсіз шекараны тексеріңіз, белгіні емес

Бір сәтсіз әрекеттің деректерін жазыңыз: алдыңғы жақ мекенжайы, тыңдаушы, клиент тексерген сәйкестік, backend мақсаты және сұралған операция. Сәтті қол алысу сыртқы TLS аяқталғанын дәлелдейді және backend туралы ештеңе айтпайды. Backend-тің бас тартуы алдыңғы жақтың сәйкестік ақауынан өзге оқиға, және екеуі де клиенттен -verify_return_error алып тастаудан жақсармайды. Ұқсасты ұқсаспен салыстырыңыз, өйткені басқа хост аты немесе порт арқылы табыс шарттардың бірдей болғанын көрсетпейді.

443 порты — TLS-ті аралық құрылғылардан өткізетін шартты ереже. Ол кездейсоқ трафикті саясат құрылғысы үшін веб-сұранысқа ұқсатпайды.

Соңғы нүктелер жұбын, ненің тасымалданатынын, қандай қосымшалардың оны қолданатынын және межелеген жердің қандай рұқсатты талап ететінін атайтын бір сөйлеммен аяқтаңыз. Осы төрт бос орынды толтыра алмайтын жоба, белгісі не деп мәлімдесе де, аяқталмаған. Сол сөйлем де жобаны брандмауэр иесіне түсіндірудің ең жылдам жолы.