HTTP-Proxy, SSH-Tunnel oder VPN: déi richteg Schicht wielen

Frot dräi Ingenieuren, wéi een zougänglech op en internen Service kënnt, an Dir kritt dräi Entwërf: en Webproxy, en SSH-Tunnel oder eng voll VPN. All dräi kënnen en ewechgeleeëne Service an d'Reechwäit bréngen, an all dräi kënnen den Trafic esou ausgesinn loossen, wéi wann e vun aneschtwou kënnt. D'Ënnerscheeder weisen sech méi spéit, wann de benotzte Protokoll net deen ass, deen dat gewielte Wierkzeug unhëlt. En Entworf, deen eng séier Browserpréifung duerchgeet, versoeet reegelméisseg an der Applikatioun, déi d'Ufro ausgeléist huet.

Entscheet Iech aus zwee Fakten: wéi eng Protokoller missen duerch, a wien d'betraffe Nimm opléise kann. Alles anescht ass Virléift.

En Proxy beweegt nëmmen, wat hie versteet

En Webproxy analyséiert de Protokoll, fir deen en gebaut gouf. De Client gëtt him eng Ufro, an hie gëtt dës Ufro weider, sou datt eng Applikatioun ouni Proxy-Astellung guer net deelhëlt. Fir HTTPS brauch de Client en unduerchsiichtegen Kanal, deen de Proxy iwwer CONNECT ubitt, anstatt d'Ufro ze liesen.

Eng dynamesch SSH-Weiderleedung mécht en lokale Port op, deen SOCKS schwätzt, an dee Port leet en TCP-Stroum un all Zil weider, dat de Client nennt. Protokoller, déi op TCP opgebaut sinn, funktionéieren normalerweis doduerch. UDP net, ausser en Instrument bäisetzt d'Ënnerstëtzung ausdrécklech. Eng lokal Weiderleedung ass nach méi schmuel: ee lokale Port op ee festen Host an ee feste Port gemappt, deen engem eenzegen bekannten Service déngt an näischt méi.

ssh -D 1080 user@bastion
ssh -L 8443:fileserver.internal:443 user@bastion

Eng VPN beweegt Paketen. Alles, wat de Client an den Tunnel leet, geet duerch, UDP an ICMP abegraff, dofir passt se zu enger Netzwierkfuerderung an net zu enger eenzeger Verbindung.

Een muss den Numm opléisen

Wann den Zilnumm nëmmen am DNS vum ewechgeleeënen Netzwierk existéiert, muss déi Maschinn, déi d'Enquête mécht, déi Zone gesinn. En Webproxy mécht d'Enquête selwer, dofir funktionéiert en internen Numm duerch hien, och wann den Laptop den Numm guer net opléise kann. SOCKS ka sech grad esou behuelen, awer nëmmen wann de Client den Numm weiderleet, amplaz sech mat enger Adress ze verbannen, déi hien scho opgeléist huet. Dës Wiel läit am Client, net am Server.

curl weist d'Deelung kloer: ee Fändel gëtt den Hostnumm un de Proxy, en aneren léist en als éischt lokal op. Bei lokaler Opléisung versoeet en nëmmen internen Numm, ier en iergendeen Tunnel beréiert, an de Feeler beschëllegt de Proxy fir eppes, wat tatsächlech eng DNS-Entscheedung war.

Eng VPN hëlt den drëtte Wee, andeem se den private Resolver an d'Sichdomeine nieft de Routen installéiert. Dat ass bequem, an et schaaft eng vertraute Illusioun: eng Route, déi mat engem Resolver existéiert, deen net äntwert, gesäit genee wéi en doudegen Tunnel aus, obwuel d'Paketen déi aner Säit erreechen.

Wann d'Netzwierk nëmmen ee Ausgang erlaabt

Vill Firmennetzwierker erlaben erausgänglech Verbindungen nëmmen iwwer en authentifizéierte Webproxy. OpenVPN an SSH kënnen allebéid do funktionéieren, dat éischt andeem säin eegenen Transport duerch de Proxy getunnelt gëtt, dat zweet duerch eng Proxykommando, déi e klengen CONNECT-Helfer ausféiert.

Tunnelen, déi op TCP opgebaut sinn, iwwerliewen dës Aschränkung, an eng UDP-baséiert VPN net, wat ganz vill Konfiguratiounen erkläert, déi doheem funktionéieren an am Büro versoen. En zweeten Käschte ass liicht ze iwwersinn: en TCP-Tunnel, deen an enger TCP-Verbindung iwwer e Proxy gedroe gëtt, huet elo zwou Schichten, déi nei schécken, an ënner Verloscht stockt dës Koppel op eng Manéier, déi keng Schicht eleng produzéiert.

Vermëttler ze ketten ass eng aner Fro wéi eng Schicht ze wielen. En zweeten Proxy oder Tor bäisetzen ännert, wien wat observéiert, an d'Positioun an der Kette entscheet, wéi eng Sprong den Chiffertext gesäit.

D'Uerdnung zielt méi wéi d'Zuel vun de Spréng. En äussere Sprong kuckt en verschlësselte Stroum, während en innere Sprong den oppenen Text gesäit, deen en dréit, dofir ass eng Kette just esou privat wéi hire mannst virsiichte Glidd. Protokoller iwwer Spréng ze mëschen verbessert dat net automatesch. Et mécht haaptsächlech d'Feelermuster méi schwéier ze duerchdenken.

Eng gefälschte Adress ass net eng vun den Optiounen

Paketen mat enger anerer hirer Quelladress ze bauen erreecht näischt Nëtzleches: d'Äntwerten reesen zum richtege Besëtzer, an déi meescht Netzwierker verwerfen den Trafic gläich. En Vermëttler ass just dofir néideg, well d'Quell net kann erfonnt ginn, an dat ass déi éierlech Begrënnung fir all dräi Entwërf.

Et begrenzt och, wat jiddweree vun hinnen behaapte kann. Esou auszegesinn, wéi wann et vun enger bestëmmter Adress kënnt, ass eng Fro doriwwer, wou déi Adress legal zougewise gëtt a wien se route ka, net doriwwer, wéi en Instrument en Header fälschen kann. Wann en Entworf anescht ugehëllt, versoeet d'Unnam beim éischten Ubider, deen se filtert. Schreift d'Unnam op, sou datt de Feeler erkennbar ass, wann en kënnt.

Entscheet Iech no Protokoller an Nimm

Grëfft op en Proxy, wann ee eenzege Webclient ee eenzege Webservice brauch an en Proxy-Astellungen huet. Grëfft op en SSH-Tunnel, wann eng Handvoll bekannte TCP-Servicen duergeet an den SSH-Zougang schonn existéiert. Grëfft op eng VPN, wann méi Applikatiounen, net-TCP-Trafic, privat DNS oder en erëmbenotzbare Wee Deel vun der Fuerderung sinn.

Verifizéiert duerno mam richtege Client an dem richtege Numm. Eng Säit iwwer e Proxy ze lueden léiert Iech näischt iwwer UDP, an een Instrument iwwer SOCKS ze bedreiwen léiert Iech näischt iwwer de Systemresolver. Liest, wéi eng lokal Adress de Prozess gebonnen huet a wéi ee Resolver geäntwert huet. Dat ass den Ënnerscheed tëscht engem Wee, deen funktionéiert, an engem, deen eng Kéier zoufälleg funktionéiert huet.