TLS VPN наспроти IPsec: пет полиња што вреди да се прегледаат
Споредете TLS VPN и IPsec VPN по издание, верзија на протоколот, сет, идентитет на партнерот и изложен опфат, заедно со исходот од дефект што сте навистина го конфигурирале.
Рангирањето на TLS VPN против IPsec VPN по фамилија на протоколи одговара на прашање што никој не го поставил и обично цитира конструкција што двете фамилии ја напуштиле пред години. Она што рецензентот навистина може да го процени е договорената заштита, идентитетот на партнерот, моделот на клиент и изложената услуга. Тие четири нешта се видливи во распоредувањето и ниту едно не произлегува од етикетата на производот. Побарајте пет полиња и разговорот станува конкретен.
Пет полиња, а етикетата не е едно од нив
Првото поле е поддржаното издание на софтверот, бидејќи опис на протокол без верзија е брошура. Второто е договорената верзија на протоколот, која одлучува кои конструкции воопшто се достапни. Третото е заштитниот сет, четвртото е методот на автентикација за партнерот и корисникот, а петтото е опфатот на пристап што производот го дава по приемот.
Етикетата VPN SSL покрива најмалку три различни производи: целосен мрежен клиент, прокси за апликации и стар портал заснован на прелистувач. Тие изложуваат различни услуги и откажуваат различно, па етикетата не може да го замени полето за опфат.
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
Што навистина менува автентицираното шифрирање
TLS 1.3 бара автентицирано шифрирање, што ја отстранува постарата конструкција MAC-then-encrypt од протоколот наместо да ја остави изборна. IPsec ESP има сетови за автентицирано шифрирање исто толку долго, со AES-GCM дефиниран во сопствен RFC. Во двете фамилии гаранцијата доаѓа од договорениот сет, а не од името на фамилијата, затоа списокот на полиња почнува со верзија. Рецензент што не може да го именува сетот нема што да процени.
Затоа историската споредба е погрешна. Распоредување прицврстено на стара верзија на TLS со сет CBC и она што работи TLS 1.3 со сет AEAD не се исто безбедносна состојба, иако двете се TLS VPN. Истата поделба постои на страната на IPsec меѓу современ сет ESP и постара комбинација.
Читајте ги договорените вредности наместо конфигурацијата што сте ја намеравале. Командите подолу покажуваат за што навистина се договориле жива крајна точка и жив тунел.
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasАко крајната точка не сака да преговара TLS 1.3, тоа е наод, а не склоност. Ако тунелот наведе сет што не сте го очекувале, конфигурацијата што е важна е онаа што ја избрале партнерите, а не онаа од шаблонот.
Идентитетот на партнерот е посебно прашање
Шифрирање без проверен партнер го штити сообраќајот од набљудувачи и го предава на оној што одговорил на врската. Автентикацијата на партнерот прашува кој идентитет се очекува, кој материјал на доверба го потврдува и како клиентот се однесува кога одговорот не се совпаѓа. Ланец на сертификати, прицврстен клуч и однапред споделена тајна се три различни одговори со три различни оперативни трошоци.
Потоа поставете ги истите прашања за корисникот или уредот. Порта што ја автентицира машината и прифаќа кој било корисник, или обратно, има одреден став што треба да се запише, а не да се претпостави. Дозволите за ресурси применети по приемот се дел од истото поле, бидејќи автентикацијата не е авторизација.
Зачувувањето на проверките на името на домаќинот и сертификатот е поважно од познатоста на прозорецот за најава. Клиент конфигуриран да ја игнорира проверката го отстранил единствениот чекор што ја разликува вашата порта од уверлива имитација.
Границата што производот ја изложува
Портал без клиент посредува избрани апликациски операции низ портата, па корисникот достигнува интерфејс, а не мрежа. Клиент со целосен тунел носи она што го избираат неговите рути и политиката за филтрирање, што е многу поголема површина. Споредбата на двете по јачина на протоколот ја пропушта разликата во тоа до што напаѓачот може да дојде преку нив. Едниот изложува апликациски интерфејс, другиот рутирана мрежа, и двете бараат различни прегледи.
Прашајте која услуга е изложена, кои операции се авторизирани и на што слуша самата порта. Административен интерфејс достапен од истата адреса како корисничкиот портал е наод од распоредувањето и никаков избор на протокол не го надоместува.
Опфатот по апликација дополнително ја стеснува површината и го менува и однесувањето при дефект кога тунелот паѓа. Дизајн што претпоставува дофат на целосен тунел се крши на начини што дизајнот по апликација не ги познава, а оптоварувањето за поддршка следи.
Одлучете го исходот од дефектот и животниот циклус
Што се случува кога автентикацијата или заштитата не е достапна е одлука за политика што припаѓа на прегледот. Блокиран исход и необјавен директен враќање имаат различни последици, а разликата е невидлива во списокот на функции. Наведете го наменетото однесување покрај ресурсот што го штити.
Вклучете го животниот циклус на закрпи и поддршка на портата, нејзините овозможени надворешни функции и патеката за ажурирање на клиентите. Исправниот избор на протокол не прави безбедна лошо распоредена услуга, а повеќето инциденти живеат во таа празнина, а не во сетот.
Запишете ги петте полиња, политиката за дефект и сопственикот на животниот циклус на една страница. Таа страница е преглед; споредба на фамилии на протоколи е мислење.