SSL VPN vai TLS apvalks? Salīdziniet robežu, kas neizdevās

Divi risinājumi var darbināt TLS uz porta 443 un ar to nozīmēt pavisam dažādas lietas. Apvalks aizsargā vienu konfigurētu savienojumu starp vietējo portu un attālu backend. Tīkla piekļuves risinājums pārnes atlasītu plūsmu un maina to, ko klients var sasniegt. Veiciet četras pārbaudes zemāk pēc kārtas, un jūs zināsiet, kuru no tiem skatāties, ar ko parasti pietiek, lai zinātu, kurš slānis neizdevās.

Sāciet ar savienojumu, kuru tiešām konfigurējāt

Pierakstiet priekšējo un aizmugurējo daļu, pirms salīdzināt produktus. Apvalks klausās vietējā adresē un pārsūta uz attālu, vai palaiž programmu attālajā pusē, un šis pāris ir viss tā līgums. Pārējās klienta programmas par to neko nezina, ja vien jūs tās nevirzāt uz to. Tas nav rīka trūkums, tam rīks ir domāts.

Tīkla risinājuma līgums ir citāds, un tas izpaužas maršrutos un politikā, nevis portu pārī.

Ievērojiet, kurš no šiem diviem aprakstiem atbilst jūsu shēmai. Ja atbilde ir viena porta kartēšana ar sertifikātu vidū, jums ir apvalks arī tad, ja produkta nosaukums saka VPN. Ja atbilde ir tuneļa saskarne un maršrutu izmaiņas, jums ir tīkla risinājums arī tad, ja tas darbojas uz 443.

Pārbaudiet, kam apvalks pievienojas

Izlasiet klausīšanās un pievienošanās iestatījumus un sekojiet tiem līdz īstajam backend. Apvalks, kas pārsūta uz datubāzes portu, neatver tīmekļa lietotni, un apvalks, kas izpilda programmu, palaiž tieši šo programmu, nevis publicē visu pārējo, ko darbina resursdators. Backend ir vienīgais, ko apvalks zina.

Tad izlemiet, vai pārsūtītā plūsma ir atklāts teksts, kad TLS beidzas. Ietīts savienojums aizsargā posmu starp diviem apvalkiem, un tas, kas notiek pēc tālā apvalka, ir atsevišķs jautājums. Tāpēc ietīt kaut ko, kam jau ir sava aizsardzība, dažreiz ir saprātīgi, bet dažreiz tas ir tikai papildu kustīgas daļas. Pārbaudiet nākamo lēcienu, nevis pieņemiet kādu no abām atbildēm.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Pirmā komanda parāda sertifikātu, kas klientam faktiski tiek piedāvāts, un otrā parāda, kas klausās uz resursdatora. Salīdziniet šo sertifikāta nosaukumu ar gaidīto, pirms lasāt ko citu.

Pārbaudiet, kādu plūsmu risinājums pārnes

Tīkla piekļuves risinājumi pārnes atlasītu plūsmu un integrējas ar klienta maršrutēšanu un piekļuves politiku. Uzņemšana nav autorizācija, tāpēc autentificētam savienojumam joprojām vajadzīgs lēmums par to, kurus resursus tas drīkst sasniegt. Portāls bez klienta ir trešais modelis, kas starpnieko atbalstītās darbības, nekad neparādoties kā tun saskarne.

Produkta etiķete nepasaki, kuru no šiem modeļiem jūs nopirkāt, un porta numurs pasaka vēl mazāk.

Slāņošana ir iespējama, un tai nevajadzētu sajaukt salīdzinājumu. Tuneļa protokolu pašu var ietīt TLS atbalstītā TCP izkārtojumā, kas pievieno slāni ap tuneli, nepadarot apvalku par tuneli. Tas ir dizaina lēmums ar savu veiktspējas un kļūmju uzvedību, un tas ir pelnījis rindu shēmā. Pierakstiet to, tad salīdziniet pamata modeļus, nevis ārējo apvalku.

Pārbaudiet neizdevušos robežu, nevis etiķeti

Pierakstiet viena neizdevušās mēģinājuma faktus: priekšējās daļas adresi, klausītāju, identitāti, ko klients pārbaudīja, backend mērķi un pieprasīto darbību. Veiksmīga rokasspiediena pierāda, ka ārējais TLS pabeigts, un neko nepasaka par backend. Backend noraidījums ir cits notikums nekā priekšējās daļas identitātes kļūme, un neviens no tiem neuzlabojas, noņemot -verify_return_error no klienta. Salīdziniet līdzīgu ar līdzīgu, jo panākums caur citu resursdatora nosaukumu vai portu neparāda, ka nosacījumi bija tie paši.

Ports 443 ir vienošanās, kas ļauj TLS iziet caur starpierīcēm. Tas nepadara patvaļīgu plūsmu līdzīgu tīmekļa pieprasījumam politikas ierīcei.

Pabeidziet ar vienu teikumu, kas nosauc galapunktu pāri, ko pārnes, kuras lietotnes to izmanto un kādas atļaujas galamērķis piemēro. Risinājums, kas nespēj aizpildīt šīs četras tukšās vietas, nav pabeigts, lai ko apgalvotu tā etiķete. Šis teikums ir arī ātrākais veids, kā izskaidrot risinājumu tam, kam pieder ugunsmūris.