TLS VPN prieš IPsec: penki laukai, kuriuos verta peržiūrėti

TLS VPN rūšiavimas prieš IPsec VPN pagal protokolų šeimą atsako į klausimą, kurio niekas neuždavė, ir paprastai nurodo konstrukciją, kurios abi šeimos atsisakė prieš metus. Tai, ką recenzentas iš tikrųjų gali įvertinti, yra suderinta apsauga, partnerio tapatybė, kliento modelis ir atskleista paslauga. Šie keturi dalykai matomi diegime, ir nė vienas neišplaukia iš produkto etiketės. Paprašykite penkių laukų ir pokalbis taps konkretus.

Penki laukai, o etiketė nėra vienas iš jų

Pirmasis laukas yra palaikomas programinės įrangos leidimas, nes protokolo aprašymas be versijos yra brošiūra. Antrasis yra suderinta protokolo versija, kuri nusprendžia, kurios konstrukcijos apskritai prieinamos. Trečiasis yra apsaugos rinkinys, ketvirtasis yra autentifikavimo metodas tiek partneriui, tiek naudotojui, o penktasis yra prieigos aprėptis, kurią produktas suteikia po priėmimo.

SSL VPN etiketė apima bent tris skirtingus produktus: visą tinklo klientą, programų tarpinį serverį ir seną naršykle pagrįstą portalą. Jie atskleidžia skirtingas paslaugas ir nepavyksta skirtingai, todėl etiketė negali pakeisti aprėpties lauko.

Ką iš tikrųjų keičia autentifikuotas šifravimas

TLS 1.3 reikalauja autentifikuoto šifravimo, kuris pašalina senesnę MAC-then-encrypt konstrukciją iš protokolo, o ne palieka ją pasirenkamą. IPsec ESP turi autentifikuoto šifravimo rinkinius tiek pat ilgai, o AES-GCM apibrėžtas atskirame RFC. Abiejose šeimose garantija kyla iš suderinto rinkinio, o ne iš šeimos pavadinimo, todėl laukų sąrašas prasideda versija. Recenzentas, kuris negali įvardyti rinkinio, neturi ko vertinti.

Todėl istorinis palyginimas klaidina. Diegimas, prisegtas prie senos TLS versijos su CBC rinkiniu, ir kitas, kuriame veikia TLS 1.3 su AEAD rinkiniu, nėra ta pati saugumo pozicija, nors abu yra TLS VPN. Tas pats skilimas yra IPsec pusėje tarp modernaus ESP rinkinio ir senos kombinacijos.

Skaitykite suderintas vertes, o ne konfigūraciją, kurią ketinote. Žemiau esančios komandos rodo, dėl ko iš tikrųjų susitarė veikiantis galinis taškas ir veikiantis tunelis.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Jei galinis taškas nenori derėtis dėl TLS 1.3, tai yra radinys, o ne pageidavimas. Jei tunelis išvardija rinkinį, kurio nesitikėjote, svarbi konfigūracija yra ta, kurią pasirinko partneriai, o ne ta, kuri yra šablone.

Partnerio tapatybė yra atskiras klausimas

Šifravimas be patikrinto partnerio apsaugo srautą nuo stebėtojų ir perduoda jį tam, kas atsakė į ryšį. Partnerio autentifikavimas klausia, kokios tapatybės tikimasi, kokia pasitikėjimo medžiaga ją patvirtina ir kaip klientas elgiasi, kai atsakymas nesutampa. Sertifikatų grandinė, prisegtas raktas ir iš anksto bendrinama paslaptis yra trys skirtingi atsakymai su trimis skirtingomis eksploatavimo sąnaudomis.

Tada užduokite tuos pačius klausimus apie naudotoją ar įrenginį. Vartai, kurie autentifikuoja mašiną ir priima bet kurį naudotoją, arba atvirkščiai, turi konkrečią poziciją, kurią reikėtų užrašyti, o ne daryti prielaidą. Išteklių leidimai, taikomi po priėmimo, priklauso tam pačiam laukui, nes autentifikavimas nėra autorizacija.

Priimančiojo vardo ir sertifikato patikrų išsaugojimas svarbesnis už prisijungimo lango pažįstamumą. Klientas, sukonfigūruotas ignoruoti patikrą, pašalino vienintelį žingsnį, kuris skiria jūsų vartus nuo įtikinamos imitacijos.

Riba, kurią atskleidžia produktas

Portalas be kliento proxina pasirinktas programų operacijas per vartus, todėl naudotojas pasiekia sąsają, o ne tinklą. Viso tunelio klientas neša tai, ką parenka jo maršrutai ir filtravimo politika, o tai yra daug didesnis paviršius. Palyginti abu pagal protokolo stiprumą reiškia praleisti skirtumą, ką užpuolikas gali pasiekti per juos. Vienas atskleidžia programos sąsają, kitas – maršrutizuotą tinklą, ir abu reikalauja skirtingų peržiūrų.

Paklauskite, kuri paslauga atskleista, kurios operacijos autorizuotos ir ko klausosi patys vartai. Valdymo sąsaja, pasiekiama iš to paties adreso kaip naudotojo portalas, yra diegimo radinys, ir joks protokolo pasirinkimas to nekompensuoja.

Aprėptis pagal programą dar labiau susiaurina paviršių, ir ji taip pat keičia gedimo elgseną, kai tunelis nukrenta. Projektas, kuris daro prielaidą apie viso tunelio pasiekiamumą, lūžta taip, kaip pagal programą projektuojamas sprendimas nelūžta, ir palaikymo našta seka.

Nuspręskite gedimo rezultatą ir gyvavimo ciklą

Kas atsitinka, kai autentifikavimas ar apsauga nepasiekiami, yra politikos sprendimas, priklausantis peržiūrai. Užblokuotas rezultatas ir nepaskelbtas tiesioginis atsitraukimas turi skirtingas pasekmes, o skirtumas nematomas funkcijų sąraše. Nurodykite numatomą elgseną šalia ištekliaus, kurį ji saugo.

Įtraukite vartų pataisų ir palaikymo gyvavimo ciklą, įjungtas išorines funkcijas ir klientų atnaujinimo kelią. Teisingas protokolo pasirinkimas nepadaro saugios blogai įdiegtos paslaugos, ir dauguma incidentų gyvena toje spragoje, o ne rinkinyje.

Užrašykite penkis laukus, gedimo politiką ir gyvavimo ciklo savininką viename puslapyje. Tas puslapis yra peržiūra; protokolų šeimų palyginimas yra nuomonė.