Gëtt en TLS-Wrapper dir e privaten Netzwierk? Meeschtens net

TLS schützt eng Kanal tëscht zwou Enner a seet näischt doriwwer, wéi eng Servicer dobannen sinn. E Wrapper mécht aus dëser Kanal een eenzege konfiguréierte Weiderleeder, fir een Nolauschterer, op een Zil. E Produkt, dat als SSL VPN verkaaft gëtt, bäisetzt meeschtens eng Interface, eng Routingstabell an en Zougangsmodell ëm dee selwechte Primitiv. Déi zwee ze verwiesselen ass de Grond, firwat en funktionéierten Tunnel fir Netzwierkzougang gehale gëtt.

Wat en Déngscht-Wrapper tatsächlech verbënnt

E Wrapper lauschtert op engem lokale Port a leet weider, wat ukommt, op en konfiguréiert Zil, sief et en Host a Port oder e lokale Programm. Dat Zil wielt deen, deen d'Konfiguratiounsdatei geschriwwen huet, een Nolauschterer gläichzäiteg. D'Installatioun vum Paket schaaft keng Routen, keng virtuell Interface an och keng Erreechbarkeet fir eppes, wat net ausdrécklech opgezielt ass. Liest d'Konfiguratioun virun der Pakbeschreiwung, well d'Beschreiwung eng Klass vum Gebrauch deckt an d'Datei deng.

Also ass déi nëtzlech Fro iwwer e Wrapper net, ob en verschlësselt, mä wat op all Enn vun der Kette steet, déi en baut.

application -> local listener -> TLS connection -> remote listener -> configured backend

Liest déi Kette aus der Konfiguratioun an net aus dem Marketingnumm. All Feil ass en eegene Netzwierkssprong mat senger eegener Adress a senge eegene Zougangsregelen.

Fannt eraus, wou d'TLS-Kanal ophält

Wann de Wrapper TLS terminéiert, ass alles, wat en weiderleeder, eng nei Verbindung mat neien Eegenschaften. De Stroum kann oppene Text op engem private Segment sinn, oder en anert geschützt Protokoll dobannen droen. Eent vun deenen zwee unhuelen, ouni d'Backend-Konfiguratioun ze liesen, ass de Grond, firwat Leit zum Schluss kommen, déi bausseg Schicht schütze Daten, déi se ni méi gesäit. Dee weidergeleet Sprong verdéngt seng eege Iwwerpréiwung, op senger eegener Adress a sengem eegene Port.

Iwwerpréift den Nolauschterer an de Backend getrennt, well en Handshake, deen un der Viirdier geléngt, näischt iwwer de Service dohannert seet.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Den éischte Kommando weist, wéi ee Prozess de Port besëtzt a wat fir en Adress en do lauschtert. Den zweete dréckt d'Zertifikat, dat de Client tatsächlech kritt, an dat ass d'Identitéitskontroll, déi eng Portnummer net ersetze kann.

Wat en geroutete VPN bäisetzt, wat e Wrapper net mécht

En geroutete VPN installéiert eng Interface, iwwerhëlt d'Eegentum vun ausgewielte Prefixen an integréiert sech an d'Routing an d'Zougangspolitik vum Host. All Applikatioun op der Maschinn profitéiert, ouni ze wëssen, datt den Tunnel existéiert. E Wrapper gëtt dës Erreechbarkeet engem eenzege konfiguréierten Nolauschterer a stoppt do.

D'Zouléisung ass nach eng Kéier getrennt. En VPN, deen e Client authentifizéiert, brauch nach ëmmer eng Autorisatioun, déi seet, wéi eng Ressourcen de Client erreech kann, an e Wrapper, deen e Peer authentifizéiert, brauch nach ëmmer e Backend, deen seng eege Permissiounen duerchsetzt.

Et gëtt eng legitim Kombinatioun: e VPN-Protokoll, deen an engem TLS-Wrapper op enger bewosst ënnerstëtzter TCP-Arrangement transportéiert gëtt. Dat stapelt zwou Schichten, an et mécht de Wrapper an den VPN net zu engem selwen Typ Objet.

Vergläicht d'Grenz, déi feelt

Schreif d'Frontend-Adress, den Nolauschterer, d'Identitéit vum Peer, d'Backend-Zil an d'Applikatiounsoperatioun op, ier s de eppes änderst. Vergläich duerno Gläiches mat Gläichem: en Erfolleg iwwer en aneren Hostnumm oder Port beweist net, datt d'Bedingunge vun der Firewall an dem Zertifikat identesch waren.

Eng refuséiert Backend-Ufro soll ni reparéiert ginn, andeems d'Frontend-Identitéitspréiwung ausgeschalt gëtt. Dat tauscht eng diagnostizéierbar Autorisatiounsfehler géint eng net diagnostizéierbar Vertrauensfehler.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Den Numm op eng gewielten Adress ze pinnen trennt d'Nummopwéise vun der Erreechbarkeet, wat meeschtens de séierste Wee ass, ze gesinn, wat vun deenen zwee futtis ass.

Dee Vergläich, deen zielt, nennt d'geschützt Ennsdepel, d'Luede, déi transportéiert gëtt, d'Applikatiounen, déi se benotzen, an d'Permissioun, déi um Zil duerchgesat gëtt. TLS dréit zu där Beschreiwung bäi, ouni se ze fäerdegen.