TLS VPN жана IPsec: карап чыгууга татыктуу беш талаа
TLS VPN менен IPsec VPNди чыгарылыш, протокол версиясы, топтом, өнөктөш инсандыгы жана ачык камроо боюнча, ошондой эле сиз чынында конфигурациялаган иштебей калуу натыйжасы боюнча салыштырыңыз.
TLS VPNди IPsec VPN менен протокол үй-бүлөсү боюнча иреттөө эч ким сурабаган суроого жооп берет жана адатта эки үй-бүлө тең жылдар мурун таштап кеткен курулушту келтирет. Сынчы чынында баалай ала турган нерсе — бул келишилген коргоо, өнөктөштүн инсандыгы, кардар модели жана ачык кызмат. Бул төрт нерсе жайгаштырууда көрүнөт жана алардын бири да продукт этикеткасынан келип чыкпайт. Беш талаа сураңыз, сүйлөшүү конкреттүү болот.
Беш талаа, жана этикетка алардын бири эмес
Биринчи талаа — колдоого алынган программалык камсыздоо чыгарылышы, анткени версиясыз протокол сүрөттөмөсү брошюра. Экинчиси — келишилген протокол версиясы, ал кайсы курулуштар жалпы жеткиликтүү экенин чечет. Үчүнчүсү — коргоо топтому, төртүнчүсү — өнөктөш үчүн да, колдонуучу үчүн да аутентификация ыкмасы, бешинчиси — кабыл алуудан кийин продукт берген кирүү камроосу.
SSL VPN этикеткасы жок дегенде үч түрдүү продуктту камтыйт: толук тармактык кардар, колдонмо проксиси жана браузерге негизделген эски портал. Алар ар башка кызматтарды ачышат жана ар башкача иштебейт, ошондуктан этикетка камроо талаасын алмаштыра албайт.
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
Аутентификацияланган шифрлөө чынында эмнени өзгөртөт
TLS 1.3 аутентификацияланган шифрлөөнү талап кылат, бул эскирээк MAC-then-encrypt курулушун протоколдон алып салат, аны милдеттүү эмес кылып калтырбайт. IPsec ESP да ушунча убакыттан бери аутентификацияланган шифрлөө топтомдоруна ээ, AES-GCM өзүнүн RFCсинде аныкталган. Эки үй-бүлөдө тең кепилдик келишилген топтомдон келет, үй-бүлө аталышынан эмес, ошондуктан талаалар тизмеси версиядан башталат. Топтомду атай албаган сынчынын баалай турган эч нерсеси жок.
Ошондуктан тарыхый салыштыруу адаштырат. Эски TLS версиясына CBC топтому менен бекитилген жайгаштыруу жана TLS 1.3тү AEAD топтому менен иштеткен жайгаштыруу бирдей коопсуздук позициясы эмес, экөө тең TLS VPN болсо да. Ушундай эле бөлүнүү IPsec тарапта заманбап ESP топтому менен эскирээк айкалыштын ортосунда бар.
Келишилген баалуулуктарды окуңуз, сиз ойлогон конфигурацияны эмес. Төмөнкү буйруктар иштеп жаткан акыркы чекит менен иштеп жаткан туннелдин чынында эмнеге келишкенин көрсөтөт.
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasЭгер акыркы чекит TLS 1.3 боюнча келишүүнү каалабаса, бул табылга, артыкчылык эмес. Эгер туннел сиз күтпөгөн топтомду тизмелесе, маанилүү конфигурация — өнөктөштөр тандаган, шаблондогу эмес.
Өнөктөштүн инсандыгы — өзүнчө суроо
Текшерилбеген өнөктөшсүз шифрлөө трафикти байкоочулардан коргойт жана аны туташууга жооп бергенге өткөрүп берет. Өнөктөштүн аутентификациясы кайсы инсандык күтүлөрүн, кайсы ишеним материалы аны текшерерин жана жооп туура келбегенде кардар кандай аракет кыларын сурайт. Сертификат чынжыры, бекитилген ачкыч жана алдын ала бөлүшүлгөн сыр — бул үч түрдүү жооп, үч түрдүү операциялык чыгым менен.
Андан кийин колдонуучу же түзмөк жөнүндө ушундай эле суроолорду бериңиз. Машинаны аутентификациялап, каалаган колдонуучуну киргизген шлюз, же тескерисинче, жазып коюуга тийиш болгон, божомолдобой турган белгилүү позицияга ээ. Кабыл алуудан кийин колдонулган ресурс уруксаттары ошол эле талаага кирет, анткени аутентификация авторизация эмес.
Хост атын жана сертификатты текшерүүлөрдү сактоо кирүү терезесинин тааныштыгынан маанилүү. Текшерүүнү этибарга албоого конфигурацияланган кардар шлюзуңузду ишенимдүү окшоштон айырмалаган жалгыз кадамды алып салган.
Продукт ачкан чек
Кардарсыз портал тандалган колдонмо операцияларын шлюз аркылуу проксилейт, ошондуктан колдонуучу тармакка эмес, интерфейске жетет. Толук туннелдүү кардар өзүнүн маршруттары жана чыпкалоо саясаты тандаган нерсени алып жүрөт, бул алда канча чоң бети. Экөөнү протокол күчү боюнча салыштыруу чабуулчу алар аркылуу эмнеге жете аларындагы айырманы өткөрүп жиберет. Бири колдонмо интерфейсин, экинчиси маршрутталган тармакты ачат, жана экөө тең башка текшерүүлөрдү талап кылат.
Кайсы кызмат ачык, кайсы операциялар уруксат берилген жана шлюз өзү эмнени угуп жатканын сураңыз. Колдонуучу порталы менен бирдей даректен жеткиликтүү башкаруу интерфейси — жайгаштыруу табылгасы, жана эч кандай протокол тандоо аны компенсациялабайт.
Колдонмо боюнча камроо бетти дагы тарытат жана туннел кулаганда иштебей калуу жүрүм-турумун да өзгөртөт. Толук туннел камроосун болжолдогон долбоор колдонмо боюнча долбоор билбеген жолдор менен бузулат, жана колдоо жүгү уланат.
Иштебей калуу натыйжасын жана жашоо циклин чечиңиз
Аутентификация же коргоо жеткиликсиз болгондо эмне болору — карап чыгууга тиешелүү саясат чечими. Бөгөттөлгөн натыйжа жана жарыяланбаган түз кайтуу ар башка кесепеттерге ээ, жана айырма функциялар тизмесинде көрүнбөйт. Күтүлгөн жүрүм-турумду ал коргогон ресурстун жанына жазыңыз.
Шлюздун патч жана колдоо жашоо циклини, анын иштетилген тышкы функцияларын жана кардарлардын жаңыртуу жолун кошуңуз. Туура протокол тандоо начар жайгаштырылган кызматты коопсуз кылбайт, жана көпчүлүк окуялар ошол боштукта, топтомдо эмес.
Беш талааны, иштебей калуу саясатын жана жашоо циклинин ээсин бир баракка жазыңыз. Ошол барак — карап чыгуу; протокол үй-бүлөлөрүн салыштыруу — пикир.