TLS қабығы сізге жеке желі бере ме? Әдетте жоқ

TLS екі ұштың арасындағы арнаны қорғайды және оның ішінде қандай қызметтер бар екені туралы ештеңе айтпайды. Қабық сол арнаны бір конфигурацияланған жіберушіге айналдырады: бір тыңдаушы, бір межелі орын. SSL VPN ретінде сатылатын өнім әдетте сол примитивтің айналасына интерфейс, маршрут кестесі мен қатынау моделін қосады. Екеуін шатастыру — жұмыс істеп тұрған туннельді желіге қатынау деп қате қабылдаудың себебі.

Қызмет қабығы шын мәнінде нені қосады

Қабық жергілікті портте тыңдайды және келгенді конфигурацияланған межеге жібереді, ол хост пен порт немесе жергілікті бағдарлама болуы мүмкін. Бұл межені конфигурация файлын жазған адам таңдайды, бір уақытта бір тыңдаушы. Пакетті орнату маршруттарды, виртуалды интерфейсті немесе анық тізілмеген кез келген нәрсеге қолжетімділікті жасамайды. Конфигурацияны пакет сипаттамасынан бұрын оқыңыз, өйткені сипаттама пайдалану класын қамтиды, ал файл сіздің жағдайыңызды қамтиды.

Сондықтан қабық туралы пайдалы сұрақ оның шифрлауы емес, ол салатын тізбектің әр ұшында не тұрғаны.

application -> local listener -> TLS connection -> remote listener -> configured backend

Бұл тізбекті маркетингтік атаудан емес, конфигурациядан оқыңыз. Әрбір көрсеткі — өз мекенжайы мен өз қатынау ережелері бар жеке желілік қадам.

TLS арнасы қайда бітетінін табыңыз

Егер қабық TLS-ті аяқтаса, одан әрі жіберетіннің бәрі жаңа қасиеттері бар жаңа қосылым. Ағын жеке сегменттегі ашық мәтін болуы мүмкін немесе ішінде басқа қорғалған протоколды тасымалдауы мүмкін. Backend конфигурациясын оқымай екеуінің бірін болжау — адамдардың сыртқы қабат өзі енді көрмейтін деректерді қорғайды деген қорытындыға келу жолы. Жіберілген қадам өз мекенжайы мен портында жеке тексеруге лайық.

Тыңдаушы мен backend-ті бөлек тексеріңіз, өйткені алдыңғы есікте сәтті қол алысу оның артындағы қызмет туралы ештеңе айтпайды.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Бірінші команда портқа қай процесс ие және ол қай мекенжайда тыңдайтынын көрсетеді. Екіншісі клиент нақты алатын сертификатты басып шығарады, және бұл порт нөмірі алмастыра алмайтын сәйкестік тексерісі.

Маршрутталған VPN қосатын, қабық қоспайтын нәрсе

Маршрутталған VPN интерфейс орнатады, таңдалған префикстерге иелік етеді және хосттың маршруттауы мен қатынау саясатымен бірігеді. Машинадағы әр қолданба туннельдің барын білмей-ақ пайда көреді. Қабық бұл қамтуды бір конфигурацияланған тыңдаушыға береді және сонда тоқтайды.

Кіру рұқсаты қайтадан бөлек. Клиентті аутентификациялайтын VPN әлі де клиент қандай ресурстарға жете алатынын айтатын авторизацияны қажет етеді, ал серіктесті аутентификациялайтын қабық әлі де өз рұқсаттарын орындайтын backend-ті қажет етеді.

Заңды үйлесім бар: әдейі қолдау көрсетілген TCP орналасуында TLS қабығының ішінде тасымалданатын VPN протоколы. Бұл екі қабатты қабаттайды және қабық пен VPN-ді бір типті объект етпейді.

Сәтсіздікке ұшыраған шекараны салыстырыңыз

Бірдеңені өзгертуден бұрын алдыңғы бөліктің мекенжайын, тыңдаушыны, серіктес сәйкестігін, backend мақсатын және қолданба операциясын жазып алыңыз. Содан кейін салыстыруға болатынды салыстырыңыз: басқа хост атауы немесе порт арқылы табыс өрт қабырғасы мен сертификат шарттарының бірдей болғанын дәлелдемейді.

Қабылданбаған backend сұранысын алдыңғы бөліктің сәйкестік тексерісін өшіру арқылы ешқашан түзетпеу керек. Бұл диагностикаланатын авторизация сәтсіздігін диагностикаланбайтын сенім сәтсіздігіне айырбастайды.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Атауды таңдалған мекенжайға бекіту атау шешімін қолжетімділіктен бөледі, және бұл әдетте екеуінің қайсысы бұзылғанын білудің ең жылдам жолы.

Маңызды салыстыру қорғалған шеткі нүктелер жұбын, тасымалданатын жүкті, оны пайдаланатын қолданбаларды және межеде орындалатын рұқсатты атайды. TLS осы сипаттамаға үлес қосады, бірақ оны аяқтамайды.