SSL VPN же TLS каптоочубу? Ийгиликсиз болгон чекти салыштырыңыз

Эки долбоор TLSти 443 портунда иштетип, аны менен таптакыр башка нерсени билдириши мүмкүн. Каптоочу бир конфигурацияланган байланышты коргойт жергиликтүү порт менен алыскы backendдин ортосунда. Тармактык кирүү долбоору тандалган трафикти ташып, кардар эмнеге жете аларын өзгөртөт. Төмөнкү төрт текшерүүнү тартип менен аткарыңыз, ошондо кайсынысын көрүп турганыңызды билесиз, бул адатта кайсы катмар ийгиликсиз болгонун билүүгө жетет.

Чынында конфигурациялаган байланыштан баштаңыз

Продукцияларды салыштырмастан мурун алдыңкы жана арткы тарапты жазып алыңыз. Каптоочу жергиликтүү даректе угуп, алыскы дарекке өткөрөт, же алыскы тарапта программа иштетет, жана ошол жуп анын бүт келишими. Кардардын башка колдонмолору бул тууралуу эч нерсе билишпейт, эгер сиз аларды ага багыттабасаңыз. Бул куралдын кемчилиги эмес, курал ушул үчүн жасалган.

Тармактык долбоордун келишими башка жана ал порт жубу менен эмес, маршруттар жана саясат менен туюнтулат.

Ошол эки сүрөттөмөнүн кайсынысы схемаңызга туура келерин байкаңыз. Жооп ортосунда сертификаты бар бир порттун картасы болсо, продукциянын аты VPN десе да, сизде каптоочу бар. Жооп туннелдин интерфейси жана маршрут өзгөрүүлөрү болсо, ал 443тө иштесе да, сизде тармактык долбоор бар.

Каптоочу эмнеге туташканын текшериңиз

Угуу жана туташуу жөндөөлөрүн окуп, аларды чыныгы backendге чейин ээрчиңиз. Маалымат базасынын портуна өткөргөн каптоочу веб-колдонмону ачпайт, ал эми программа иштеткен каптоочу хосттун калган бардыгын жарыялоонун ордуна ошол программаны иштетет. Backend — каптоочу билген жалгыз нерсе.

Андан кийин TLS бүткөндөн кийин өткөрүлгөн агым ачык текстпи же жокпу, аны чечиңиз. Капталган байланыш эки каптоочунун ортосундагы бөлүктү коргойт, ал эми алыскы каптоочудан кийин эмне болору өзүнчө маселе. Ошондуктан өз коргоосу бар нерсени каптоо кээде акылга сыярлык, кээде жөн гана кошумча кыймылдуу бөлүктөр. Эки жооптун бирин божомолдоонун ордуна кийинки кадамды текшериңиз.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Биринчи буйрук кардарга чынында сунушталган сертификатты көрсөтөт, экинчиси хостто эмне угуп жатканын көрсөтөт. Башка нерсени окуудан мурун ошол сертификаттын атын күткөн атыңыз менен салыштырыңыз.

Долбоор кайсы трафикти ташыганын текшериңиз

Тармактык кирүү долбоорлору тандалган трафикти ташышат жана кардардын маршруттоосу жана кирүү саясаты менен биригишет. Кабыл алуу авторизация эмес, ошондуктан аутентификацияланган байланышка да кайсы ресурстарга жете алары тууралуу чечим керек. Кардарсыз портал — колдоого алынган операцияларды проксилеген, бирок эч качан tun интерфейси катары көрүнбөгөн үчүнчү модель.

Продукциянын белгиси кайсы моделди сатып алганыңызды айтпайт, ал эми порт номери андан да аз айтат.

Катмарлоо мүмкүн жана салыштырууну чаташтырбашы керек. Туннел протоколунун өзүн колдоого алынган TCP жайгашуусунда TLSке ороп болот, бул туннелдин айланасына катмар кошот, бирок каптоочуну туннелге айландырбайт. Бул өзүнүн аткарымдуулугу жана бузулуу жүрүмү бар долбоордук тандоо жана диаграммада бир сапка татыктуу. Аны жазып алыңыз, андан кийин сырткы каптоочуну эмес, негизги моделдерди салыштырыңыз.

Ийгиликсиз чекти текшериңиз, белгини эмес

Бир ийгиликсиз аракеттин фактыларын жазыңыз: алдыңкы тараптын дареги, угуучу, кардар текшерген инсандык, backendдин максаты жана суралган операция. Ийгиликтүү кол алышуу сырткы TLS бүткөнүн далилдейт жана backend тууралуу эч нерсе айтпайт. Backendдин баш тартуусу алдыңкы тараптын инсандык ийгиликсиздигинен башка окуя, жана экөө тең кардардан -verify_return_error алып салуудан жакшырбайт. Окшошту окшош менен салыштырыңыз, анткени башка хост аты же порт аркылуу ийгилик шарттар бирдей болгонун көрсөтпөйт.

443 порту — TLSти ортолук кутулардан өткөрүүчү шарттуу эреже. Ал кокустан келген трафикти саясат түзмөгү үчүн веб-суроого окшоштурбайт.

Акыркы чекиттердин жубу, эмне ташылаары, кайсы колдонмолор аны колдонору жана барар жер кандай уруксатты талап кылаары аталган бир сүйлөм менен бүтүрүңүз. Ошол төрт бош орунду толтура албаган долбоор, белгиси эмне деп ырастабасын, бүтпөгөн. Ошол сүйлөм долбоорду брандмауэрдин ээсине түшүндүрүүнүн эң тез жолу да болуп саналат.