SSL VPN oder TLS-Hüll? Vergläicht d’Grenz, déi versot huet

Zwee Konzepter kënnen TLS op Port 443 lafen a verschidde Saachen domat mengen. Eng Hüll schützt eng konfiguréiert Verbindung tëschend engem lokale Port an engem entfernte Backend. En Netzwierkzougangskonzept dréit ausgewielten Verkéier a verännert, wat de Client erreeche kann. Aarbecht d’véier Kontrollen hei drënner der Rei no duerch an dir wësst, wéi enger dir kuckt, wat meeschtens genuch ass, fir ze wëssen, wéi eng Schicht versot huet.

Fänkt mat der Verbindung un, déi dir tatsächlech konfiguréiert hutt

Schreift de Frontend an de Backend op, ier dir Produkter vergläicht. Eng Hüll lauschtert op enger lokaler Adress a leet op eng entfernt weider, oder startet e Programm op der entfernter Säit, an dës Pair ass hire ganze Kontrakt. Déi aner Applikatioune vum Client wësse näischt doriwwer, ausser dir richt se drop. Dat ass keen Defekt vum Instrument, dofir ass d’Instrument do.

De Kontrakt vun engem Netzwierkkonzept ass anescht, an en dréckt sech a Routen a Politiken aus, net an enger Portpair.

Mierkt Iech, wéi eng vun déi zwou Beschreiwungen zu Ärem Diagramm passt. Wann d’Äntwert eng Portmap mat engem Zertifikat an der Mëtt ass, hutt dir eng Hüll, och wann den Numm vum Produkt VPN seet. Wann d’Äntwert eng Tunnelinterfacé an Ännerunge vun de Route sinn, hutt dir e Netzwierkkonzept, och wann et op 443 leeft.

Kontrolléiert, u wat d’Hüll sech verbënnt

Liest d’Lauschter- an d’Verbindungsastellungen a verfollegt se bis zum richtege Backend. Eng Hüll, déi op en Datebankport weiderleet, mécht keng Webapplikatioun op, an eng Hüll, déi e Programm ausféiert, startet dat Programm, amplaz alles anescht ze publizéieren, wat den Host lafe léisst. De Backend ass dat eenzegt, wat d’Hüll weess.

Duerno entscheet, ob den iwwerdroenen Flux Klartext ass, wann TLS ophält. Eng agehüllt Verbindung schützt de Segment tëschend den zwou Hüllen, an dat, wat no der wäiter Hüll geschitt, ass eng separat Fro. Dofir ass et heiansdo sënnvoll, eppes anzehüllen, wat seng eege Schutz huet, an heiansdo just zousätzlech beweeglech Deeler. Ënnersicht den nächsten Hopp, amplaz eng vun deenen zwou Äntwerten unzehuelen.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Den éischte Befehl weist d’Zertifikat, dat engem Client tatsächlech ugebuede gëtt, an den zweete weist, wat um Host lauschtert. Vergläicht deen Zertifikatsnumm mat deem, deen dir erwaart hutt, ier dir eppes anescht liest.

Kontrolléiert, wéi e Verkéier d’Konzept dréit

Netzwierkzougangskonzepter dréien ausgewielten Verkéier a integréiere sech an d’Routing an d’Zougangspolitik vum Client. Zouloossung ass keng Autorisatioun, also brauch eng authentifiéiert Verbindung nach ëmmer eng Entscheidung doriwwer, wéi eng Ressourcen se erreeche kann. En Portal ouni Client ass en drëtt Modell, dat déi ënnerstëtzt Operatiounen iwwer e Proxy mécht, ouni jeemools als tun-Interfacé opzedauchen.

D’Etikett vum Produkt seet Iech net, wéi en vun dëse Modeller dir kaaft hutt, an d’Portnummer seet nach manner.

Schichtung ass méiglech a soll d’Vergläich net verwierren. En Tunnelprotokoll kann selwer an TLS agehüllt ginn an enger ënnerstëtzter TCP-Uerdnung, wat eng Schicht ronderëm den Tunnel bäisetzt, ouni d’Hüll zum Tunnel ze maachen. Dat ass eng Designentscheedung mat sengem eegene Leeschtungs- a Feelerverhalen, an et verdéngt eng Linn am Diagramm. Notéiert se, a vergläicht duerno déi ënnerleeënd Modeller, net d’baussenzeg Hüll.

Kontrolléiert d’Grenz, déi versot huet, net d’Etikett

Schreift d’Fakten fir ee feelgeschloenen Versuch op: Frontendadress, Lauschterer, d’Identitéit, déi de Client verifizéiert huet, d’Backendzil an d’Operatioun, déi ugefrot gouf. En erfolgreiche Handshake beweist, datt den baussenzegen TLS fäerdeg gouf, a seet näischt iwwer de Backend. Eng Oflennung vum Backend ass en anert Evenement wéi e Feeler vun der Identitéit um Frontend, an keng vun deenen zwee gëtt besser, wann een -verify_return_error beim Client ewechhëlt. Vergläicht Gläiches mat Gläichem, well en Erfolleg iwwer en aneren Hostnumm oder Port weist net, datt d’Konditiounen déi selwecht waren.

Port 443 ass eng Konventioun, déi TLS duerch Mëttelboxe léisst. Se mécht net, datt beliebegen Verkéier fir en Apparat vun der Politik wéi eng Websufro ausgesäit.

Schléisst mat engem Saz of, deen d’Endpunktpair nennt, wat gedroe gëtt, wéi eng Applikatiounen et benotzen a wéi eng Erlaabnes d’Destinatioun duerchsetzt. E Konzept, dat déi véier Lächer net fëllen kann, ass net fäerdeg, wat och ëmmer seng Etikett behaapt. Dee Saz ass och de séierste Wee, d’Konzept deemjenegen z’erklären, deen d’Firewall huet.