Eegen TLS, SSH-Weiderleitung oder VPN fir eng Cloud-Servicer

D'Fro ass selten, ob tëschent zwou Cloud-Maschinnen eppes verschlësselt soll ginn; d'Fro ass, wéi en Interface Dir verschlësselt a wien d'Identitéit vu wiem kontrolléiert. Ech fänken dës Gespréicher beim Service un an net beim Netzwierkdiagramm, well de Service weess schonn, wat hie brauch. Dräi Grenzen decken déi meescht Fäll: den eegenen TLS vun der Applikatioun, ee weidergeleet TCP-Port iwwer SSH an eng geroutete Iwwerlag, déi all Participant eng Adress gëtt. Si sinn net no Stäerkt gerangschoss, mä no deem, wéi vill vum Problem si decken.

Fänkt mam Service un, net mam Netzwierk

Gitt vum Prozess no baussen. Wéi ee Protokoll schwätzt en, wéi en Numm wäert de Client verifizéieren, a wien däerf iwwerhaapt eng Verbindung opmaachen? Déi dräi Äntwerten eliminéieren Optiounen méi séier wéi all Vergläichstabell, an déi eegen Konfiguratioun vum Service äntwert se meeschtens a puer Minutten.

Huelt eng kleng intern API, déi schonn HTTPS op Port 8443 mat engem Zertifikat fir api.internal.example ubitt. ss -ltnp um Host weist, u wat se gebonnen ass, an openssl s_client -connect 127.0.0.1:8443 -verify_hostname api.internal.example weist, ob den Zertifikat fir den Numm gülteg ass, deen de Client tatsächlech benotzt. Wann béid gesond sinn, kann de Service säin eegene Stroum schützen an et bleift just d'Erreechbarkeet. Dat ass e vill méi klengt Problem wéi en Netzwierk ze bauen.

Schrëtt 1: schützt de Service sech selwer?

Dëst ass d'Optioun, déi ee wielt, wann se passt, an se passt méi dacks wéi d'Equipen unhuelen. D'Verschlësselung vum Service deckt de ganzen Wee tëschent Client a Server, inklusiv all Sprong dertëschent, wat keen Tunnel ëm d'Mëtt verbessert. Setzt den erwaarten Numm an d'Vertrauen explizit, amplaz sech op dat ze verloossen, wat de Standardspäicher vum Client zoufälleg enthält.

Verschlësselung an Erreechbarkeet bleiwen getrennt Kontrollen, an hir Zesummeféierung ass de Punkt, wou dës Optioun schief geet. En TLS-Service op engem onbeschränkten ëffentlechen Nolauschterer akzeptéiert nach ëmmer Verbindungsversich vun jidderengem, also musse Nolauschterer an Netzwierkregelen onofhängeg vum Fait definéiert ginn, datt d'Notzlaascht geschützt ass. Préift dann d'Ofhängegkeeten, well eng API iwwer TLS näischt iwwer den Entdeckungsendpunkt, den Admin-Port oder de Massetransferkanal niewendrun seet. Jiddwereen dovun brauch seng eegen Äntwert, an ee ongeschützte Brudder genüügt, fir déi ganz Grenz zu enger Fiktioun ze maachen.

Schrëtt 2: ass een TCP-Port déi ganz Fuerderung?

Wann d'Fuerderung wierklech een TCP-Port ass, ass eng Weiderleitung dat Klengst, wat funktionéiert. Eng lokal SSH-Weiderleitung dréit dee Port duerch eng schonn existéierend authentifizéiert Verbindung.

D'Form ass ssh -N -L 8443:127.0.0.1:8443 [email protected], an den Detail deen zielt ass d'Zieladress: 127.0.0.1 gëtt op der wäiter Säit opgeléist, also gëtt d'Verbindung zum Service vum Bastion aus opgemaach an net vun Ärem Laptop. Bindt den lokalen Nolauschterer enk als -L 127.0.0.1:8443:..., fir de Service net zoufälleg an Ärem eegenen lokalen Netzwierk ze publizéieren. Op der Serversäit begrenzt, wat de Kont weiderleede kann, amplaz dem Client gutt Verhalen zouzetrauen. PermitOpen, AllowTcpForwarding local an en Standard-GatewayPorts no sinn déi dräi Astellungen, déi en Allgemeng-Relais an ee bestëmmte Kanal verwandelen.

De Kontrakt ass enk a béid Richtungen. SSH schützt säin eegene Kanal, an e weideren Sprong vum Bastion op eng aner Applikatioun brauch säin eegene Schutz. En Service, deen nëmmen um Loopback vum Bastion lauschtert, huet eng ganz aner Expositioun wéi een, deen iwwer en anert Netzwierk erreecht gëtt, an d'Weiderleitung ännert dat net. Hält d'Authentifizéierung an d'TLS-Kontrollen vun der Applikatioun op hirem Plaz, amplaz den Tunnel als hiren Ersatz ze behandelen.

Dëst funktionéiert gutt fir eng Verbindung mat engem Propriétaire. Am Moossstaf gëtt et e System: lokal Portkonflikter, Iwwerwaachung, Schlësselrotatioun an d'Fro, wien d'Weiderleitung no engem Neistart erëm startet.

Schrëtt 3: ass Routing déi tatsächlech Fuerderung?

Déi Lëscht ass den éierleche Präis vun der klengster Optioun, an dofir ersetzen d'Equipen iergendwann eng Handvoll vergiessen Hannergrondkommandos duerch eppes Gestioun. Den Ersatz ass net automatesch eng VPN. Wann d'Fuerderung nach ëmmer een TCP-Port ass, ass eng iwwerwaacht Weiderleitung mat engem dokumentéierte Propriétaire méi bëlleg ze bedreiwen wéi eng Iwwerlag, an et versoeet op Manéieren, déi Dir gesitt. Moosst d'operationell Proprietéit, ier Dir d'Eleganz moosst.

Routing gëtt déi richteg Äntwert, wann Routing d'Fuerderung ass. Méi Applikatiounen, déi gewéinlech IP-Konnektivitéit brauchen, Protokoller, déi eng TCP-Weiderleitung net dréie kann, oder Servicer, déi tëschent Hoste wiesselen, weisen alleguer an déi selwecht Richtung.

Eng Iwwerlag gëtt de Participanten eng Adress an eng Route, an dann fänkt déi richteg Aarbecht un: net iwwerlappend Beräicher, Routeproprietéit, DNS, Aschreiwung, Widderruff an wat geschitt, wann e Peer verschwënnt. Näischt dovun kënnt mat der Adress. E Peer, deen an d'Iwwerlag opgeholl gëtt, ass och net automatesch fir all Operatioun um Zil autoriséiert, also bleift d'Authentifizéierung op Service-Niveau.

Wat Dir duerno besëtzt

Zwee Saachen gehéieren an de Rekord, deen Dir hannerloosst. Déi éischt ass d'Identitéit, déi de Client erwaart gëtt ze verifizéieren, well jiddwereng vun dëse Grenzen sech roueg verschlechtert, soubal eng Nummkontroll geluecht gëtt, fir eppes ze schaffen. Déi zweet ass de Schrëtt vum Entfernen: wéi e Schlëssel, wéi eng Regel oder wéi eng Route verschwënnt, wann den Accès ophält, a wien et mécht.

De Spazéiergang hält do op, wou en ugefaangen huet, beim Service. Wielt d'Grenz, déi den tatsächlechen Traffic deckt an d'Peeren verifizéiert, déi Dir verifizéiere wollt, a schreift dann op, wéi den Accès aktualiséiert, iwwerwaacht an ewechgeholl gëtt. D'OpenSSH-Referenz ass d'Plaz, fir d'Weiderleitungsoptiounen ze bestätegen, ier Dir en enke Kontrakt verspriecht. Wann Dir de Schrëtt vum Entfernen net an engem Saz beschreiwe kënnt, ass d'Grenz méi grouss wéi de Problem.