TLS VPN және IPsec: қарап шығуға тұрарлық бес өріс

TLS VPN-ді IPsec VPN-мен протокол отбасы бойынша реттеу ешкім сұрамаған сұраққа жауап береді және әдетте екі отбасы да жылдар бұрын бас тартқан құрылымды келтіреді. Сыншы шынымен бағалай алатын нәрсе — келісілген қорғаныс, серіктес сәйкестігі, клиент моделі және ашық қызмет. Бұл төрт нәрсе орналастыруда көрінеді және ешқайсысы өнім затбелгісінен туындамайды. Бес өріс сұраңыз, әңгіме нақты болады.

Бес өріс, ал затбелгі олардың бірі емес

Бірінші өріс — қолдау көрсетілетін бағдарламалық жасақтама шығарылымы, өйткені нұсқасыз протокол сипаттамасы брошюра. Екіншісі — келісілген протокол нұсқасы, ол қандай құрылымдардың жалпы қолжетімді екенін шешеді. Үшіншісі — қорғаныс жинағы, төртіншісі — серіктес үшін де, пайдаланушы үшін де аутентификация әдісі, бесіншісі — рұқсаттан кейін өнім беретін қатынас қамтуы.

SSL VPN затбелгісі кемінде үш түрлі өнімді қамтиды: толық желілік клиент, қолданба проксиі және браузерге негізделген ескірген портал. Олар әртүрлі қызметтерді ашады және әртүрлі сәтсіздікке ұшырайды, сондықтан затбелгі қамту өрісін алмастыра алмайды.

Аутентификацияланған шифрлау шын мәнінде нені өзгертеді

TLS 1.3 аутентификацияланған шифрлауды талап етеді, бұл ескірек MAC-then-encrypt құрылымын протоколдан алып тастайды, оны міндетті емес етіп қалдырмайды. IPsec ESP-де де сонша уақыттан бері аутентификацияланған шифрлау жинақтары бар, AES-GCM өз RFC-де анықталған. Екі отбасында да кепілдік келісілген жинақтан келеді, отбасы атауынан емес, сондықтан өрістер тізімі нұсқадан басталады. Жинақты атай алмайтын сыншының бағалайтын ештеңесі жоқ.

Сондықтан тарихи салыстыру адастырады. Ескі TLS нұсқасына CBC жинағымен бекітілген орналастыру және TLS 1.3-ті AEAD жинағымен іске қосатын орналастыру бірдей қауіпсіздік позициясы емес, екеуі де TLS VPN болса да. Дәл осындай бөліну IPsec жағында заманауи ESP жинағы мен ескірек комбинация арасында бар.

Келісілген мәндерді оқыңыз, сіз ойлаған конфигурацияны емес. Төмендегі командалар жұмыс істеп тұрған соңғы нүкте мен жұмыс істеп тұрған туннельдің шын мәнінде неге келіскенін көрсетеді.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Егер соңғы нүкте TLS 1.3 туралы келісуге құлықсыз болса, бұл табылым, артықшылық емес. Егер туннель сіз күтпеген жинақты тізімдесе, маңызды конфигурация — серіктестер таңдаған, үлгідегі емес.

Серіктес сәйкестігі — бөлек сұрақ

Тексерілмеген серіктессіз шифрлау трафикті бақылаушылардан қорғайды және оны қосылымға жауап бергенге тапсырады. Серіктесті аутентификациялау қандай сәйкестік күтілетінін, қандай сенім материалы оны растайтынын және жауап сәйкес келмегенде клиенттің қалай әрекет ететінін сұрайды. Сертификат тізбегі, бекітілген кілт және алдын ала бөлісілген құпия — бұл үш түрлі жауап, үш түрлі операциялық шығынмен.

Содан кейін пайдаланушы немесе құрылғы туралы дәл осы сұрақтарды қойыңыз. Машинаны аутентификациялап, кез келген пайдаланушыны кіргізетін шлюз немесе керісінше, жазып қоюға тиіс, болжамайтын белгілі позицияға ие. Рұқсаттан кейін қолданылатын ресурс рұқсаттары сол өріске жатады, өйткені аутентификация авторизация емес.

Хост аты мен сертификат тексерулерін сақтау кіру терезесінің таныстығынан маңыздырақ. Тексеруді елемеуге конфигурацияланған клиент шлюзіңізді сенімді еліктеуден ажырататын жалғыз қадамды алып тастады.

Өнім ашатын шекара

Клиентсіз портал таңдалған қолданба операцияларын шлюз арқылы проксилейді, сондықтан пайдаланушы желіге емес, интерфейске жетеді. Толық туннельді клиент өз маршруттары мен сүзгілеу саясаты таңдаған нәрсені тасымалдайды, бұл әлдеқайда үлкен бет. Екеуін протокол күші бойынша салыстыру шабуылдаушы олар арқылы неге жете алатынындағы айырманы өткізіп жібереді. Біреуі қолданба интерфейсін, екіншісі маршрутталған желіні ашады, және екеуі де басқа тексерулерді талап етеді.

Қай қызмет ашық, қай операциялар рұқсат етілген және шлюздің өзі нені тыңдап жатқанын сұраңыз. Пайдаланушы порталымен бірдей мекенжайдан қолжетімді басқару интерфейсі — орналастыру табылымы, және ешбір протокол таңдау оны өтемейді.

Қолданба бойынша қамту бетті одан әрі тарылтады және туннель құлағанда істен шығу мінез-құлқын да өзгертеді. Толық туннель қамтуын болжайтын жоба қолданба бойынша жоба білмейтін жолдармен бұзылады, және қолдау жүктемесі жалғасады.

Істен шығу нәтижесін және өмірлік циклді шешіңіз

Аутентификация немесе қорғаныс қолжетімсіз болғанда не болатыны — қарауға тиесілі саясат шешімі. Бөгелген нәтиже мен жарияланбаған тікелей қайту әртүрлі салдарға әкеледі, және айырма функциялар тізімінде көрінбейді. Күтілетін мінез-құлықты ол қорғайтын ресурстың қасына жазыңыз.

Шлюздің патч және қолдау өмірлік циклін, оның қосылған сыртқы функцияларын және клиенттердің жаңарту жолын қосыңыз. Дұрыс протокол таңдау нашар орналастырылған қызметті қауіпсіз етпейді, және оқиғалардың көбі сол олқылықта, жинақта емес.

Бес өрісті, істен шығу саясатын және өмірлік цикл иесін бір бетке жазыңыз. Сол бет — қарау; протокол отбасыларын салыстыру — пікір.