TLS капкагы сизге жеке тармак береби? Адатта жок

TLS эки учтун ортосундагы каналды коргойт жана анын ичинде кайсы кызматтар бар экени жөнүндө эч нерсе айтпайт. Капкак ошол каналды бир конфигурацияланган жиберүүчүгө айландырат: бир угуучу, бир багыт. SSL VPN деп сатылган продукт адатта ошол эле примитивдин айланасына интерфейс, маршрут таблицасы жана кирүү модели кошот. Экөөнү аралаштыруу — иштеп жаткан туннелди тармакка кирүү деп туура эмес кабыл алуунун себеби.

Кызмат капкагы чындыгында эмнени туташтырат

Капкак жергиликтүү портто угат жана келгенди конфигурацияланган багытка жиберет, ал хост жана порт же жергиликтүү программа болушу мүмкүн. Бул багытты конфигурация файлын жазган адам тандайт, бир убакта бир угуучу. Пакетти орнотуу маршруттарды, виртуалдык интерфейсти же ачык тизилбеген нерселерге жетүүнү жаратпайды. Конфигурацияны пакеттин сүрөттөмөсүнөн мурун окуңуз, анткени сүрөттөмө колдонуу классын камтыйт, ал эми файл сиздин учурду камтыйт.

Ошондуктан капкак тууралуу пайдалуу суроо анын шифрлөөсү эмес, ал курган чынжырдын ар бир учунда эмне турганы.

application -> local listener -> TLS connection -> remote listener -> configured backend

Бул чынжырды маркетингдик аттан эмес, конфигурациядан окуңуз. Ар бир жебе өз дареги жана өз кирүү эрежелери менен өзүнчө тармактык кадам.

TLS каналы кайда бүтөөрүн табыңыз

Эгер капкак TLSти бүтүрсө, андан ары жибергендин баары жаңы касиеттери бар жаңы туташуу. Агым жеке сегменттеги ачык текст болушу мүмкүн же ичинде башка корголгон протоколду ташышы мүмкүн. Backend конфигурациясын окубай эки жолдун бирин божомолдоо — адамдардын тышкы катмар өзү эми көрбөгөн маалыматтарды коргойт деген тыянакка келишинин жолу. Жиберилген кадам өз дареги жана портунда өзүнчө текшерүүгө татыктуу.

Угуучуну жана backendди өзүнчө текшериңиз, анткени алдыңкы эшикте ийгиликтүү кол алышуу анын артындагы кызмат жөнүндө эч нерсе айтпайт.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Биринчи команда портко кайсы процесс ээ экенин жана ал кайсы даректөө тыңшаарын көрсөтөт. Экинчиси кардар чындыгында алган сертификатты басып чыгарат, жана бул порт номери алмаштыра албаган инсандык текшерүү.

Маршрутталган VPN кошкон, капкак кошпогон нерсе

Маршрутталган VPN интерфейс орнотот, тандалган префикстерге ээлик кылат жана хосттун маршруттоосу жана кирүү саясаты менен интеграцияланат. Машинадагы ар бир колдонмо туннелдин бар экенин билбей эле пайда көрөт. Капкак бул камтууну бир конфигурацияланган угуучуга берет жана ошол жерде токтойт.

Кирүүгө уруксат кайрадан өзүнчө. Кардарды аутентификациялаган VPN дагы эле кардар кайсы ресурстарга жете аларын айткан авторизацияны талап кылат, ал эми өнөктөштү аутентификациялаган капкак дагы эле өз уруксаттарын аткарган backendди талап кылат.

Мыйзамдуу айкалыш бар: атайын колдоого алынган TCP жайгашуусунда TLS капкагынын ичинде ташылуучу VPN протоколу. Бул эки катмарды катмарлайт жана капкак менен VPNди бир типтеги объект кылбайт.

Ийгиликсиз болгон чекти салыштырыңыз

Бир нерсени өзгөртүүдөн мурун алдыңкы бөлүктүн дарегин, угуучуну, өнөктөштүн инсандыгын, backendдин максатын жана колдонмо операциясын жазып алыңыз. Анан салыштырууга боло турганды салыштырыңыз: башка хост аты же порт аркылуу ийгилик өрт дубалынын жана сертификаттын шарттары бирдей болгонун далилдебейт.

Четке кагылган backend суроосун алдыңкы бөлүктүн инсандык текшерүүсүн өчүрүү менен эч качан оңдоого болбойт. Бул диагностикалануучу авторизация катасын диагностикаланбаган ишеним катасына алмаштырат.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Атты тандалган дарекке бекитүү ат чечүүнү жетүүдөн бөлөт, жана бул адатта экөөнүн кайсынысы бузулганын билүүнүн эң тез жолу.

Маанилүү салыштыруу корголгон четки чекиттер жупун, ташылуучу жүктү, аны колдонгон колдонмолорду жана багытта аткарылуучу уруксатты атайт. TLS бул сүрөттөмөгө салым кошот, бирок аны бүтүрбөйт.