TLS VPN géint IPsec: déi fënnef Felder, déi et wäert sinn ze préifen

TLS VPNen géint IPsec VPNen no Protokollfamill ze rangéieren, beäntwert eng Fro, déi kee gestallt huet, an et zitéiert meeschtens eng Konstruktioun, déi béid Famillen viru Joren opginn hunn. Wat eng préifend Persoun tatsächlech bewäerte kann, ass de verhandelte Schutz, d'Peer-Identitéit, de Clientmodell an de exponéierten Service. Déi véier Saache sinn an enger Deployement sichtbar, an keng dovun follegt aus dem Produktlabel. Frot no fënnef Felder, an d'Gespréich gëtt konkret.

Fënnef Felder, an d'Label ass keng dovun

Dat éischt Feld ass de ënnerstëtzte Software-Release, well eng Protokollbeschreiwung ouni Versioun eng Broschür ass. Dat zweet ass déi verhandelt Protokollversioun, déi decidéiert, wéi eng Konstruktioune iwwerhaapt verfügbar sinn. Dat drëtt ass d'Schutzsuite, dat véiert d'Authentifizéierungsmethod fir Peer a Benotzer, an dat fënneft den Zougangsëmfang, deen d'Produkt no der Zoulossung gëtt.

En SSL VPN-Label deckt op d'mannst dräi verschidde Produkter of: e vollwäertege Netzwierkclient, en Applikatiounsproxy an en ale browserbaséierte Portal. Si exponéieren ënnerschiddlech Servicer a schéitere ënnerschiddlech, dofir kann d'Label d'Feld Ëmfang net ersetzen.

Wat authentiséiert Verschlësselung tatsächlech ännert

TLS 1.3 verlaangt authentiséiert Verschlësselung, wat déi méi al MAC-then-encrypt-Konstruktioun aus dem Protokoll eraushëlt, amplaz se optional ze loossen. IPsec ESP huet genausou laang Suiten fir authentiséiert Verschlësselung, mat AES-GCM an enger eegener RFC. An béide Famillen kënnt d'Garantie aus der verhandelter Suite an net aus dem Familljennumm, an dofir fänkt d'Feldlëscht mat enger Versioun un. Wien d'Suite net nenne kann, huet näischt ze bewäerten.

Dofir ass den historesche Verglach irreführend. Eng Deployement, déi op eng al TLS-Versioun mat enger CBC-Suite festgeluecht ass, an eng, déi TLS 1.3 mat enger AEAD-Suite fiert, sinn net déiselwecht Sécherheetslag, obwuel béid TLS VPNen sinn. Déiselwecht Spaltung gëtt et op der IPsec-Säit tëscht enger moderner ESP-Suite an enger aler Kombinatioun.

Liest déi verhandelt Wäerter amplaz vun der Konfiguratioun, déi Dir geduecht hutt. D'Kommandos ënnendrënner weisen, wat en aktiven Endpunkt an en aktiven Tunnel tatsächlech ofgemaach hunn.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Wann den Endpunkt TLS 1.3 net verhandele wëll, ass dat e Befund an keng Preferenz. Wann den Tunnel eng Suite oplëscht, déi Dir net erwaart hutt, ass d'Konfiguratioun, déi zielt, déi, déi d'Peeren gewielt hunn, an net déi an der Schabloun.

Peer-Identitéit ass eng eege Fro

Verschlësselung ouni verifizéierte Peer schützt den Trafic virun Observateuren an iwwergëtt en un wien och ëmmer d'Verbindung beäntwert huet. Peer-Authentifizéierung freet, wéi eng Identitéit erwaart gëtt, wéi en Trauensmaterial se validéiert, a wéi de Client sech behëlt, wann d'Äntwert net passt. Eng Zertifikatskette, en agespaarten Schlëssel an e virun gedeelte Geheimnis sinn dräi verschidden Äntwerten mat dräi verschiddenen operationelle Käschten.

Stellt dann déiselwecht Froen iwwer de Benotzer oder d'Apparat. En Gateway, deen d'Maschinn authentifizéiert an all Benotzer erlässt, oder ëmgekéiert, huet eng spezifesch Haltung, déi opgeschriwwe sollte ginn amplaz ugeholl. Ressourcenberechtegungen no der Zoulossung gehéieren zum selwechte Feld, well Authentifizéierung ass keng Autorisatioun.

Hostnumm- a Zertifikatskontrollen ze behalen ass méi wichteg wéi d'Vertrautheet vum Login-Fënster. En Client, dee konfiguréiert ass, d'Verifikatioun ze ignoréieren, huet dee eenzege Schrëtt ewechgeholl, deen Äre Gateway vun enger iwwerzeegender Nachbildung ënnerscheet.

D'Grenz, déi d'Produkt exponéiert

En clientlose Portal proxyéiert ausgewielt Applikatiounsoperatiounen duerch de Gateway, sou datt de Benotzer eng Interface amplaz vun engem Netzwierk erreecht. En Full-Tunnel-Client dréit, wat seng Routen a Filterpolitik auswielen, wat eng vill méi grouss Fläch ass. Déi zwee no Protokollstäerkt ze vergläichen, verpasst den Ënnerscheed doran, wat en Ugräifer duerch si erreeche kann. Déi eng exponéiert eng Applikatiounsinterface, déi aner en gerouteten Netzwierk, an déi zwee verlaangen ënnerschiddlech Préifungen.

Frot, wéi en Service exponéiert ass, wéi eng Operatiounen autoriséiert sinn a wat de Gateway selwer lauschtert. Eng Administratiounsinterface, déi ënner der selwechter Adress wéi de Benotzerportal erreechbar ass, ass e Deployment-Befund, an keng Protokollwal gläicht dat aus.

Ëmfang pro Applikatioun verenkt d'Fläch weider, an et ännert och d'Feelerverhalen, wann den Tunnel fällt. En Design, deen Full-Tunnel-Erreechbarkeet unhëlt, wäert op eng Manéier briechen, déi en Per-App-Design net mécht, an d'Supportlaascht follegt.

Bestëmmt de Feelerausgang an de Liewenszyklus

Wat geschitt, wann Authentifizéierung oder Schutz net verfügbar sinn, ass eng Richtliniensäit, déi an d'Préifung gehéiert. En blockéierten Ausgang an en onannoncéierte direkte Réckfall hunn ënnerschiddlech Konsequenzen, an den Ënnerscheed ass an enger Funktiounslëscht onsiichtbar. Nennt dat beabsichtegt Verhalen nieft der Ressource, déi et schützt.

Huelt de Patch- a Support-Liewenszyklus vum Gateway op, seng aktivéiert extern Funktiounen an den Update-Pad fir Clienten. Eng korrekt Protokollwal mécht en schlecht opgestallte Service net sécher, an déi meescht Virfäll liewe an deem Lach an net an der Suite.

Schreift déi fënnef Felder, d'Feelerpolitik an den Eegentemer vum Liewenszyklus op eng Säit. Déi Säit ass eng Préifung; e Verglach vu Protokollfamillen ass eng Meenung.