VPN ичиндеги OAuth: кайсы бөлүктөр дагы эле TLS талап кылат

Жеке маршруттоо серверге ким жетээрин чечет; OAuth ташуу эрежелери ар бир билдирүүнүн кантип жүрөөрүн чечет. Браузер, авторизация сервери, токен акыркы чекити жана ресурс сервери бир VPNдин артында туруп, билдирүүлөрдү ар башка бөлүктөр аркылуу алмаша алышат. Ар бир бөлүктүн өз ташуу талабы бар, жана VPN алардын эч бирин жеңилдетпейт. VPN чек арасы менен протокол чек арасы эки башка сызык.

Тармак ишенимдүүбү деп суроону токтотуп, кайсы алмашуу кайсы чек арадан өтөрүн сурай баштасаңыз, чечим жеңилдейт.

Тармак боюнча эмес, бөлүк боюнча чечиңиз

Акыркы чекиттерди өзүнчө жазыңыз: авторизация акыркы чекити, токен акыркы чекити, кайра багыттоо URI, ресурс серверинин URL, TLS аяктоо чекити жана VPN шлюзу. Анан ар бир сурамды кайсы тарап баштаарын жана жооп кайда кетерин белгилеңиз.

Шлюзда аяктаган VPN сегментти ошол шлюзга чейин шифрлайт. Сурам анын артында жөнөкөй HTTP катары улана алат, жана мурунку сегмент шифрланганы үчүн калган бөлүк HTTPS боло элек. Дал ошол уланды протоколго маанилүү бөлүк. Биринчи секирүүнү шифрлөө экинчи секирүүнү коопсуз кылбайт.

Ташуу кызматтын идентификациясын текшерүүнү да алып жүрөт. Браузер колдонмонун URL үчүн сертификатты текшерет; VPN бул текшерүүнү браузердин ордуна аткарбайт жана текшерилбеген акыркы чекитти кабыл алынуучу кылбайт. Сертификат кардар чакырып жатат деп ойлогон акыркы чекитти атайт. Шлюзга барган туннель ал акыркы чекитти кайра атабайт жана текшербейт.

Авторизация жообу жана кайра багыттоо URI

OAuthтун учурдагы эң мыкты коопсуздук тажрыйбасы авторизация жоопторун шифрланбаган туташуулар аркылуу жөнөтүүгө тыюу салат. Бул баштапкы сурамды гана эмес, авторизация кодун же токендерди кардарга кайтарган кайра багыттоону да камтыйт.

Ошол эле көрсөтмө белгиленген native-кардар loopback учурун кошпогондо, HTTP кайра багыттоо URIлерине жол бербейт. Ички хост аты жаңы өзгөчөлүк түзбөйт, жана VPNдин ичинде гана чечилген DNS аты, схема ошентсе, дагы эле HTTP URL бойдон калат. Катталган URIдеги схеманы текшериңиз, хост атын гана эмес.

Так HTTPS кайра багыттоо URIн авторизация серверинде каттаңыз жана кардарда сертификат текшерүүнү күйүк тутуңуз. HTTPS талабын баскан иштеп чыгуу кыска жолу өзү моделдеши керек болгон өндүрүштүк конфигурациядан башкача жүрүм-турумдагы агымды жаратат.

Токен акыркы чекити жана bearer токен сурамдары

Токен сурамы кирүү үчүн алмаштырууга боло турган каттоо маалыматтарын же кодду алып жүрөт. Аны корголбогон бөлүк аркылуу жөнөтүү, айланадагы тармак жеке болсо да, ресурс сервери кийин ишене турган материалды ачат. Сурамды окуй алган прокси анын алып жүргөн каттоо маалыматын да окуй алат.

Bearer токен менен ресурс сурамдары үчүн RFC 6750 TLSти ошол спецификация боюнча ишке ашыруу жана колдонуу үчүн милдеттүү деп эсептейт. Кеңсе ички тармагын ишенимдүү деп атоо ачык тексттеги bearer жайгаштырууга керек болгон жалпы протоколдук өзгөчөлүк эмес.

Эки бөлүк үчүн тең документтелген коопсуз акыркы чекит URLдерин колдонуңуз. Эгер китепкана HTTP токен акыркы чекитин чакыруудан баш тартса, бул баш тартуу спецификациянын иштеши, айланып өтүүгө тийиш конфигурация катасы эмес. Ошол URLди аткаруу убагында алып чыгуунун ордуна кардар конфигурациясына жазыңыз.

TLS кайда аяктайт жана эмнени калтырат

Эгер TLS ыйгарым укуктуу фронтендде аяктаса, ошол фронтендди атаңыз жана андан колдонмого чейинки жолду карап чыгыңыз. Фронтенд калган сегментте жөнөтүү, ишеним жана купуялуулук үчүн жооптуу болот, жана кызматтын колдоого алынган архитектурасы ошол жайгашууну сүрөттөшү керек.

Жолдун башка жериндеги VPN бул жоопкерчиликтерди чечпейт. Ал ошондой эле браузер көргөн колдонмонун URLи фронтенд көрсөткөн сертификатка дал келерин айтпайт.

Ички жайгаштыруу үчүн аяктоо чекитин жана анын көрсөткөн идентификациясын жазыңыз. TLSти башка атка арналган сертификат менен аяктаган фронтенд операторлор түзөтүүнүн ордуна көп баскан браузер эскертүүсүн жаратат.

Native loopback өзгөчөлүгү тар

Loopback кайра багыттоо өзгөчөлүгү колдонуучунун өз түзмөгүндөгү кайтарым чакырууга тиешелүү, мында кардар менен браузер ошол түзмөктү бөлүшөт. Бул жайгашуу бир түзмөктөгү кайтарым чакырууга таандык жана кеңсе ички тармагына HTTP аркылуу кадимки авторизация серверин же токен алып жүргөн APIни көрсөтүүгө укук бербейт.

Өзгөчөлүктү ал сүрөттөгөн кардар түрү жана кайтарым чакыруу менен чектеп туруңуз. Аны веб-колдонмого, жалпы ички кызматка же башка хосттогу кайра багыттоо URIге колдонуу жайгаштырууну өзгөртөт, өзгөчөлүктү эмес.

Ар бир чек арада реалдуу агымды сынап көрүңүз жана кардар түрү менен салыштырыңыз. Иштеген кайра багыттоо токен алып жүргөн ар бир бөлүк талап кылынган коргоону колдонгонун эч нерсе айтпайт, ал эми жашыл VPN белгиси кийинки сурамдын схемасы жөнүндө эч нерсе айтпайт.