SSL VPN ar TLS apvalkalas? Palyginkite ribą, kuri nepavyko

Du sprendimai gali paleisti TLS 443 prievade ir tuo reikšti visiškai skirtingus dalykus. Apvalkalas apsaugo vieną sukonfigūruotą ryšį tarp vietinio prievado ir nuotolinio backend. Tinklo prieigos sprendimas perduoda pasirinktą srautą ir keičia, ką klientas gali pasiekti. Atlikite keturis patikrinimus žemiau iš eilės ir žinosite, kurį iš jų matote, o to paprastai pakanka suprasti, kuris sluoksnis nepavyko.

Pradėkite nuo ryšio, kurį tikrai sukonfigūravote

Užsirašykite priekinę ir galinę dalis prieš lygindami produktus. Apvalkalas klausosi vietinio adreso ir persiunčia į nuotolinį, arba paleidžia programą nuotolinėje pusėje, ir ta pora yra visa jo sutartis. Kitos kliento programos apie jį nieko nežino, nebent nukreipiate jas į jį. Tai ne įrankio trūkumas, tam įrankis ir skirtas.

Tinklo sprendimo sutartis kitokia, ir ji išreiškiama maršrutais bei politika, o ne prievadų pora.

Atkreipkite dėmesį, kuris iš tų dviejų aprašymų atitinka jūsų schemą. Jei atsakymas yra vienas prievado susiejimas su sertifikatu viduryje, turite apvalkalą, net kai produkto pavadinimas sako VPN. Jei atsakymas yra tunelio sąsaja ir maršrutų pakeitimai, turite tinklo sprendimą, net kai jis veikia 443 prievade.

Patikrinkite, prie ko jungiasi apvalkalas

Perskaitykite klausymosi ir jungimosi nustatymus ir sekite juos iki tikro backend. Apvalkalas, persiunčiantis į duomenų bazės prievadą, neatidaro žiniatinklio programos, o programą paleidžiantis apvalkalas paleidžia būtent tą programą, o ne paskelbia visa kita, ką vykdo serveris. Backend yra vienintelis dalykas, kurį apvalkalas žino.

Tada nuspręskite, ar perduodamas srautas yra atviras tekstas, kai TLS baigiasi. Apgaubtas ryšys apsaugo atkarpą tarp dviejų apvalkalų, o tai, kas vyksta po tolimo apvalkalo, yra atskiras klausimas. Štai kodėl apgaubti tai, kas jau turi savo apsaugą, kartais prasminga, o kartais tai tik papildomos judančios dalys. Patikrinkite kitą šuolį, o ne darykite prielaidą dėl bet kurio atsakymo.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Pirmoji komanda parodo sertifikatą, kuris klientui iš tikrųjų siūlomas, o antroji parodo, kas klausosi serverio. Palyginkite tą sertifikato vardą su tuo, kurio tikėjotės, prieš skaitydami ką nors kita.

Patikrinkite, kokį srautą perduoda sprendimas

Tinklo prieigos sprendimai perduoda pasirinktą srautą ir integruojasi su kliento maršrutizavimu ir prieigos politika. Priėmimas nėra autorizacija, todėl autentifikuotam ryšiui vis tiek reikia sprendimo, kuriuos išteklius jis gali pasiekti. Portalas be kliento yra trečiasis modelis, kuris proxy būdu atlieka palaikomas operacijas niekada nepasireikšdamas kaip tun sąsaja.

Produkto etiketė nepasako, kurį iš šių modelių nusipirkote, o prievado numeris pasako dar mažiau.

Sluoksniuoti galima, ir tai neturėtų painioti palyginimo. Tunelio protokolas pats gali būti apgaubtas TLS palaikomame TCP išdėstyme, o tai prideda sluoksnį aplink tunelį, nepaverčiant apvalkalo tuneliu. Tai dizaino sprendimas su savo našumo ir gedimo elgsena, ir jis nusipelno eilutės schemoje. Užsirašykite jį, tada lyginkite pagrindinius modelius, o ne išorinį apvalkalą.

Patikrinkite nepavykusią ribą, o ne etiketę

Užrašykite vieno nepavykusio bandymo faktus: priekinės dalies adresą, klausytoją, tapatybę, kurią klientas patikrino, backend tikslą ir prašomą operaciją. Sėkmingas rankos paspaudimas įrodo, kad išorinis TLS baigėsi, ir nieko nesako apie backend. Backend atmetimas yra kitas įvykis nei priekinės dalies tapatybės gedimas, ir nė vienas nepagerėja pašalinus -verify_return_error iš kliento. Lyginkite panašų su panašiu, nes sėkmė per kitą serverio vardą ar prievadą neparodo, kad sąlygos buvo tos pačios.

443 prievadas yra susitarimas, leidžiantis TLS praeiti per tarpinius įrenginius. Jis nepaverčia savavališko srauto žiniatinklio užklausa politikos įrenginiui.

Užbaikite vienu sakiniu, kuriame nurodote galinių taškų porą, kas perduodama, kurios programos tai naudoja ir kokią teisę vykdo paskirties vieta. Sprendimas, kuris negali užpildyti tų keturių tuščių vietų, nėra baigtas, kad ir ką teigtų jo etiketė. Tas sakinys taip pat yra greičiausias būdas paaiškinti sprendimą tam, kam priklauso ugniasienė.