Wéi e ëffentleche Proxy iwwer eng VPN bei en private Urspronk kënnt

Eng Websäit duerch en Tunnel verëffentlechen an de Benotzer VPN-Zougang ginn sinn zwou verschidde Reegele, déi sech ee Kabel deelen. An der éischter hëlt en ëffentlechen ëmgedréite Proxy d’Ufro vum Visiteur un a leet se duerch den Tunnel weider an en Urspronk, deen een net direkt erreeche kann. An der zweeter muss de Benotzer der VPN bäitrieden, ier d’Applikatioun iwwerhaapt erreechbar ass. Dës zwou Beschreiwungen ze vermëschen ass de Wee, wéi en private Backend um Enn ëffentlech exponéiert gëtt.

Zwéi Modeller, déi op engem Diagramm d’selwecht ausgesinn

Zeechent d’Pfeiler, ier dir eppes auswielt. En ëffentleche Verëffentlechungsmodell geet vum Browser zum Proxy iwwer HTTPS, duerno vum Proxy zum Urspronk duerch den Tunnel, an den Urspronk hëlt ni eng Verbindung vum Internet un. En nëmme-VPN-Modell geet vum Client zum Gateway, an d’Applikatioun ass nëmmen aus dem Bannenzäite vun dësem Wee erreechbar. De Laptop vum Benotzer sëtzt am selwechten Netz wéi d’Applikatioun, an dat ass de ganzen Zweck vun deem Modell.

D’Modeller ënnerscheede sech doran, wien authentifizéiert a wou. An der éischter ass de Proxy den ëffentlechen Agang an en leet all Ufro weider, déi ukënnt, och eng feindlech, ënner der Politik, déi drop konfiguréiert ass. An der zweeter ass d’Erreechbarkeet selwer d’Paart, wat eng graff awer richteg Zouloossung ass.

Wou TLS ophält, a wat et tatsächlech beweist

TLS tëschent Browser a Proxy schützt dee Saz an erlaabt dem Browser, d’Säit ze verifizéieren, déi en ze besiche wollt. Wann de Proxy TLS ofschléisst, existéiert d’Ufro a liesbarer Form bannent deem Prozess, ier se weidergeleet gëtt. Eng zweet TLS-Sessioun zum Urspronk kann de nächste Saz schützen an den Endpunkt vun der Applikatioun getrennt verifizéieren. Keng vun den zwou Sessiounen entscheet, wéi ee Mënsch d’Applikatioun benotze däerf. En Wildcard-Zertifikat um Proxy erstreckt sech och net op deen zweeten Saz.

Dëst ass deen Deel, deen d’Leit am Wuert verschlësselt zesummefaassen. Vertraulechkeet, Integritéit a Serveridentitéit sinn Transporteigenschaften; Autorisatioun ass eng Applikatiounsentscheedung. Eng privat Adress hannert engem Tunnel ännert wien de Socket erreeche kann, net wien sech alogge kann, wann en do ass.

Vertraut weidergeleet Header just vum Proxy

Applikatiounen, déi op d’Client-Adress loggen oder autoriséieren, liesen normalerweis en Header, deen de Proxy derbäisetzt. Dee Header ass just Text, also kann alles, wat den Urspronk direkt erreeche kann, all Adress behaapten, déi et wëll. Beschränkt den Urspronk sou, datt nëmmen d’Tunneladress vum Proxy sech ka verbannen, a konfiguréiert d’Applikatioun, den Header nëmmen aus där Adress ze akzeptéieren.

curl -s -o /dev/null -w '%{http_code}
' -H 'X-Forwarded-For: 203.0.113.9' http://172.20.5.40/

Wann déi Ufro vun engem Host geléngt, deen net de Proxy ass, vertraut den Urspronk engem Header, deen en ignoréiere sollt. Reparéiert de Listener, ier dir d’Applikatioun beréiert. Eng Oflehnung ass e vill bessert Resultat wéi eng Loglinn mat enger gefälschter Adress.

Hält den Urspronk vun genau enger Plaz aus erreechbar

Bindt de Listener vum Urspronk un d’Tunneladress oder ëmzaunt en mat enger Firewall a Richtung Proxy, a bestätegt dann, wat tatsächlech lauschtert. En Service, dee mat enger Wildcard-Bindung gestart gëtt, hëlt Verbindungen op all Interface un, dat den Host huet, och op engem, vun deem dir vergiess hat, datt et routebar ass. D’Lauschtertabelle ass d’Grondwourecht, net d’Konfiguratiounsdatei, déi dir wëllt uwenden. Wann d’Wildcard-Bindung bewosst ass, muss d’Firewall nach ëmmer de Komponent sinn, deen se enk mécht.

ss -ltnp | grep -E ':(80|443)'

Maacht déiselwecht Iwwerpréiwung fir Verwaltungsinterfacen, dat ass déi üblech zoufälleg Expositioun. Schreift duerno déi zwéi Modeller getrennt op: d’ëffentlech Säit duerch de Proxy, an d’Verwaltungsinterface, déi nëmmen duerch den Tunnel erreechbar ass. De Saz, datt de Server hannert enger VPN ass, seet dovun näischt.