SSL VPN или TLS обвивка? Споредете ја границата што не успеа

Два дизајна можат да работат со TLS на портата 443 и да значат сосема различни работи. Обвивката заштитува една конфигурирана врска помеѓу локална порта и оддалечен backend. Дизајнот за мрежен пристап пренесува избран сообраќај и го менува тоа до што клиентот може да стигне. Изведете ги четирите проверки подолу по ред и ќе знаете кој од двата го гледате, што обично е доволно за да знаете кој слој не успеа.

Започнете со врската што навистина ја конфигуриравте

Запишете ги предниот и задниот крај пред да споредувате производи. Обвивката слуша на локална адреса и препраќа на оддалечена, или стартува програма на оддалечената страна, и тој пар е целиот нејзин договор. Другите апликации на клиентот не знаат ништо за неа, освен ако не ги насочите кон неа. Тоа не е недостаток на алатката, тоа е нејзината намена.

Договорот на мрежниот дизајн е поинаков и се изразува во маршрути и политика, а не во пар порти.

Забележете кој од тие два описа одговара на вашата шема. Ако одговорот е едно мапирање на порта со сертификат во средината, имате обвивка дури и кога името на производот вели VPN. Ако одговорот е интерфејс на тунел и промени на маршрутите, имате мрежен дизајн дури и кога работи на 443.

Проверете на што се поврзува обвивката

Прочитајте ги поставките за слушање и поврзување и следете ги до вистинскиот backend. Обвивка што препраќа на порта на база на податоци не отвора веб-апликација, а обвивка што извршува програма ја стартува таа програма наместо да објавува сето друго што го извршува домаќинот. Backend е единственото нешто што обвивката го знае.

Потоа одлучете дали пренесениот тек е чист текст откако TLS ќе заврши. Обвитканата врска го штити сегментот помеѓу двете обвивки, а тоа што се случува по далечната обвивка е одделно прашање. Затоа обвиткувањето на нешто што веќе носи сопствена заштита е понекогаш смислено, а понекогаш само дополнителни подвижни делови. Проверете го следниот чекор наместо да претпоставите кој било од двата одговори.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Првата команда го покажува сертификатот што на клиентот всушност му се нуди, а втората покажува што слуша на домаќинот. Споредете го тоа име на сертификатот со она што го очекувавте пред да прочитате нешто друго.

Проверете каков сообраќај пренесува дизајнот

Дизајните за мрежен пристап пренесуваат избран сообраќај и се интегрираат со рутирањето и политиката за пристап на клиентот. Приемот не е авторизација, па автентифицираната врска сето уште бара одлука за тоа до кои ресурси може да стигне. Порталот без клиент е трет модел што ги посредува поддржаните операции без некогаш да се појави како tun интерфејс.

Етикетата на производот не ви кажува кој од тие модели го купивте, а бројот на портата кажува уште помалку.

Слоевитоста е возможна и не смее да ја збуни споредбата. Тунелскиот протокол и самиот може да се обвитка во TLS во поддржан TCP распоред, што додава слој околу тунелот без да ја претвори обвивката во тунел. Тоа е дизајнерска одлука со сопствено однесување при изведба и откази и заслужува ред во шемата. Забележете ја, потоа споредете ги основните модели, а не надворешната обвивка.

Проверете ја границата на отказот, не етикетата

Запишете ги фактите за еден неуспешен обид: адресата на предниот крај, слушателот, идентитетот што клиентот го проверил, целта на backend и бараната операција. Успешното ракување докажува дека надворешниот TLS завршил и не кажува ништо за backend. Одбивањето од backend е различен настан од отказ на идентитетот на предниот крај, и ниту едно не се подобрува со отстранување на -verify_return_error од клиентот. Споредувајте слично со слично, бидејќи успех преку друго име на домаќин или порта не покажува дека условите биле исти.

Портата 443 е конвенција што го пропушта TLS низ посредни уреди. Таа не го прави произволен сообраќај сличен на веб-барање за уред за политика.

Завршете со една реченица што го именува парот крајни точки, што се пренесува, кои апликации го користат и каква дозвола наложува одредиштето. Дизајн што не може да ги пополни тие четири празни места не е завршен, што и да тврди неговата етикета. Таа реченица е и најбрзиот начин да го објасните дизајнот на тој што го поседува огнениот ѕид.