HTTPS аркылуу негизги аутентификация жана IPsec: ар бири эмнени коргойт

Иштеп чыгуучу куралдарын ачыңыз, ички колдонмону жүктөңүз жана баракча көрсөтүлө электе бир сурамдын төрт текшерүү пунктунан өтүшүн байкаңыз. Адегенде ат чечилет, андан кийин TCP байланышы ачылат, андан кийин TLS кол алышуусу сервердин ким экенин аныктайт, жана ошондон кийин гана колдонмо сиздин ким экениңизди сурайт. Аларды өзүнчө окуялар катары караңыз, анткени ар бири ар кандай далилдер менен ишке ашпайт жана ар бири ар кандай командага таандык. Окуялардагы башаламандыктын көбү 401ди туннель маселеси катары, же туннель маселесин начар сырсөз катары окуудан келет.

Биринчи текшерүү пункту: бул сиз сүйлөшкүңүз келген серверби

TLS кол алышуусу бул суроого кандайдыр бир каттоо маалыматтары жөнөтүлө электе жооп берет. Кардарыңыз сертификаттар тизмегин ишеним кампасына каршы текшерет жана сертификаттагы ат сиз киргизген хостко туура келерин текшерет. Эгер бул ишке ашпаса, браузер сертификат катасын көрсөтөт жана Authorization аталышын такыр жөнөтпөйт. Ошондуктан сырсөз суроосу сервердин чыныгы экенин далилдебейт; бул колдонмонун жооп бергенин далилдейт.

Бул жерде биринчи чек пайда болот. TLS байланышты анын аяктоо пунктуна чейин коргойт. Эгер жүктөө теңдештиргичи TLSди аяктап, колдонмого жөнөкөй HTTP жөнөтсө, шифрленген сегмент теңдештиргичте бүтөт, жана каттоо маалыматтары ошол биринчи секирикте гана корголот.

Экинчи текшерүү пункту: 401 алмашуусунда чындыгында эмне жүрөт

HTTP негизги аутентификациясы колдонуучу идентификаторун жана сырсөздү аталышка салып жөнөтөт, Base64 менен коддолгон, сүрөттөлгөндөй RFC 7617 документинде. Authorization: Basic dXNlcjpwYXNz — бул форма; коддоону сурамды окуй алган ар ким кайтара алат, ошондуктан бүткүл жашыруундук астындагы ташуудан келет. curl -v WWW-Authenticate: Basic чакырыгын жана сиз кайтарган аталышты көрсөтөт.

Бул аталыш колдонмого ким сурап жатканын айтат. Ал тармакка ким туташа аларын айтпайт жана өзү эч нерсени шифрлебейт. Колдонмо дагы эле каттоо маалыматын кампага каршы текшерип, бул эсеп эмне кыла аларын чечиши керек, бул авторизация жана аутентификациядан кийин болот.

IPsec туннели ошол жолдо кайда турат

Эми браузерден сыртка карай жүрүңүз. Шлюзден шлюзга IPsec туннели эки коопсуздук шлюзүнүн ортосундагы тандалган трафикти коргойт, ноутбугуңуз менен колдонмо процессинин ортосунда эмес. Туннель режиминдеги ESP баштапкы пакетти ороп алат, шлюздер аны шифрлеп, аутентификациялайт, ал эми ички даректер сакталат, ошондуктан алыскы тарап сурамды колдонмого багыттай алат.

Тандоо — адамдар чалынаткан бөлүк. Саясатка негизделген туннелдер трафик тандагычтарын колдонот, алар көбүнчө кирүүнү көзөмөлдөө тизмелери катары туюнтулат, кайсы пакеттер туннелге кирерин чечүү үчүн. Маршрутка негизделген туннелдер анын ордуна виртуалдык интерфейс жана маршруттоо таблицасын колдонот. Linuxта ip xfrm policy тандагычтарды, ал эми ip xfrm state орнотулган коопсуздук ассоциацияларын көрсөтөт; тармактык калкан түзмөгүндө барабар нерсе — туннелдин SA таблицасы жана пакет изилдөөчү.

Натыйжаны ачык айтууга татыктуу. Пакет толугу менен соо туннелдин ичинде отуруп, ошол эле учурда колдонмо четке каккан HTTPS сурамын алып жүрүшү мүмкүн, ал эми жарактуу каттоо маалыматтары маршруттоо уруксат берсе, туннелсиз жол менен да келиши мүмкүн.

Ийгиликсиздикти аны билдирген катмарда окуңуз

401 колдонмо каттоо маалыматын кабыл албаганын билдирет. 403 анын инсанды кабыл алып, операциядан баш тартканын билдирет. TLS катасы кардар серверди кабыл албаганын билдирет. Маршруттун жоктугу же саясаттын дал келбестиги пакеттин алыскы шлюзгө эч качан жетпегенин билдирет. Төрт ар кандай ийгиликсиздик, төрт ар кандай ээ, жана алардын эч бири кирүү формасына кароо менен диагностикаланбайт.

Ар бир катмар өндүргөн далилдерди колдонуңуз: статус жана аталыштар үчүн браузердин тармактык панели, сертификаттар тизмеги үчүн openssl s_client -connect host:443, туннелдин трафиги үчүн шлюздүн SA эсептегичтери жана журналдары, жана эсеп чечими үчүн колдонмонун журналы. Эки катмар бир убакта ката билдирсе, адегенде төмөнкүсүн оңдоңуз, анткени өлүк туннель аутентификация ийгиликсиздигин оңой жашыра алат жана тескерисинче.

Бир кызматты башынан аягына чейин картага түшүрүңүз

Текшерип жаткан кызмат үчүн беш сап жазыңыз: туннель кайсы өнөктөштөрдү туташтырат, тандагычтар кайсы ички тармактарга жана портторго уруксат берет, TLS кайда бүтөт жана сертификат кандай инсанды ырастайт, кайсы колдонмо эсеби жана ролу колдонулат, жана ар бир катмар кайда журнал жүргүзөт. Аларды бир баракта кармаңыз, анткени картанын максаты — бир катмардын жоопкерчилиги кайда бүтүп, кийинкиси кайда башталарын көрсөтүү.

Андан кийин ар бир катмар үчүн бир терс учурду сынап көрүңүз. Туура эмес сырсөздү колдонуп, тайм-аут эмес, 401 аларыңызды ырастаңыз. Тандагычтардан тышкаркы ички тармактан туташып, пакет туннелден өтпөй турганын ырастаңыз. Туура эмес ат үчүн сертификат көрсөтүп, кардар каттоо маалыматтарын жөнөтө электе баш тартканын ырастаңыз. Бул үч натыйжа дизайн жөнүндө каалаган куту диаграммасынан көбүрөөк айтат.

Акырында, ар бир мамиле кандай коргоо талап кыларын атайын чечиңиз. TLS үстүндөгү негизги аутентификация шлюздин артындагы кичинекей ички курал үчүн орундуу тандоо; ал колдонуучу боюнча авторизацияны же TLS акыркы чекитинин артындагы трафикти коргоону алмаштырбайт. Туннель жолду коргойт, сертификат секирикти коргойт, ал эми 401 эсепти коргойт, жана сиздин ким экениңизди акыркысы гана билет.