TLS റാപ്പർ നിങ്ങൾക്ക് ഒരു സ്വകാര്യ നെറ്റ്‌വർക്ക് നൽകുന്നുണ്ടോ? സാധാരണയായി ഇല്ല

TLS രണ്ട് അറ്റങ്ങൾക്കിടയിലുള്ള ഒരു ചാനൽ സംരക്ഷിക്കുന്നു, അതിനുള്ളിൽ ഏതൊക്കെ സേവനങ്ങളുണ്ടെന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നുമില്ല. റാപ്പർ ആ ചാനലിനെ ഒരു കോൺഫിഗർ ചെയ്ത ഫോർവേർഡറാക്കി മാറ്റുന്നു, ഒരു ശ്രോതാവിന്, ഒരു ലക്ഷ്യസ്ഥാനത്തേക്ക്. SSL VPN എന്ന പേരിൽ വിൽക്കുന്ന ഉൽപ്പന്നം സാധാരണയായി അതേ പ്രിമിറ്റീവിന് ചുറ്റും ഒരു ഇന്റർഫേസ്, ഒരു റൂട്ട് പട്ടിക, ഒരു ആക്സസ് മോഡൽ എന്നിവ ചേർക്കുന്നു. രണ്ടും കൂട്ടിക്കുഴയ്ക്കുന്നതാണ് പ്രവർത്തിക്കുന്ന ഒരു ടണൽ നെറ്റ്‌വർക്ക് ആക്സസ് ആയി തെറ്റിദ്ധരിക്കാൻ കാരണം.

ഒരു സേവന റാപ്പർ യഥാർത്ഥത്തിൽ എന്താണ് ബന്ധിപ്പിക്കുന്നത്

റാപ്പർ ഒരു ലോക്കൽ പോർട്ടിൽ കേൾക്കുന്നു, വരുന്നത് ഒരു കോൺഫിഗർ ചെയ്ത ലക്ഷ്യസ്ഥാനത്തേക്ക് ഫോർവേർഡ് ചെയ്യുന്നു, അത് ഹോസ്റ്റും പോർട്ടും ആകാം, അല്ലെങ്കിൽ ഒരു ലോക്കൽ പ്രോഗ്രാം ആകാം. ആ ലക്ഷ്യസ്ഥാനം തിരഞ്ഞെടുക്കുന്നത് കോൺഫിഗറേഷൻ ഫയൽ എഴുതിയയാളാണ്, ഒരു സമയത്ത് ഒരു ശ്രോതാവ്. പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യുന്നത് റൂട്ടുകളോ വെർച്വൽ ഇന്റർഫേസോ വ്യക്തമായി ലിസ്റ്റ് ചെയ്യാത്ത ഒന്നിനും എത്തിച്ചേരാനുള്ള കഴിവോ സൃഷ്ടിക്കുന്നില്ല. പാക്കേജ് വിവരണത്തിന് മുമ്പ് കോൺഫിഗറേഷൻ വായിക്കുക, കാരണം വിവരണം ഉപയോഗത്തിന്റെ ഒരു വിഭാഗത്തെ ഉൾക്കൊള്ളുന്നു, ഫയൽ നിങ്ങളുടേതിനെ ഉൾക്കൊള്ളുന്നു.

അതിനാൽ റാപ്പറിനെക്കുറിച്ചുള്ള ഉപയോഗപ്രദമായ ചോദ്യം അത് എൻക്രിപ്റ്റ് ചെയ്യുന്നുണ്ടോ എന്നല്ല, മറിച്ച് അത് നിർമ്മിക്കുന്ന ശൃംഖലയുടെ ഓരോ അറ്റത്തും എന്താണ് എന്നതാണ്.

application -> local listener -> TLS connection -> remote listener -> configured backend

ആ ശൃംഖല മാർക്കറ്റിംഗ് പേരിൽ നിന്നല്ല, കോൺഫിഗറേഷനിൽ നിന്ന് വായിക്കുക. ഓരോ അമ്പും സ്വന്തം വിലാസവും സ്വന്തം ആക്സസ് നിയമങ്ങളുമുള്ള ഒരു പ്രത്യേക നെറ്റ്‌വർക്ക് ഹോപ്പ് ആണ്.

TLS ചാനൽ എവിടെ അവസാനിക്കുന്നു എന്ന് കണ്ടെത്തുക

റാപ്പർ TLS അവസാനിപ്പിക്കുന്നുവെങ്കിൽ, അത് മുമ്പോട്ട് ഫോർവേർഡ് ചെയ്യുന്നതെല്ലാം പുതിയ സവിശേഷതകളുള്ള പുതിയ കണക്ഷനാണ്. സ്ട്രീം ഒരു സ്വകാര്യ സെഗ്മെന്റിൽ പ്ലെയിൻ ടെക്സ്റ്റ് ആകാം, അല്ലെങ്കിൽ അതിനുള്ളിൽ മറ്റൊരു സംരക്ഷിത പ്രോട്ടോക്കോൾ വഹിക്കാം. ബാക്ക്‌എൻഡ് കോൺഫിഗറേഷൻ വായിക്കാതെ ഇവയിലൊന്ന് അനുമാനിക്കുന്നതാണ്, പുറം പാളി താൻ ഇനി കാണാത്ത ഡാറ്റ സംരക്ഷിക്കുന്നു എന്ന നിഗമനത്തിലേക്ക് ആളുകൾ എത്തുന്ന വഴി. ഫോർവേർഡ് ചെയ്ത ഹോപ്പിന് സ്വന്തം വിലാസത്തിലും പോർട്ടിലും സ്വന്തം പരിശോധന അർഹിക്കുന്നു.

ശ്രോതാവിനെയും ബാക്ക്‌എൻഡിനെയും വെവ്വേറെ പരിശോധിക്കുക, കാരണം മുൻവാതിലിൽ വിജയിക്കുന്ന ഒരു ഹാൻഡ്‌ഷേക്ക് അതിന് പിന്നിലുള്ള സേവനത്തെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

ആദ്യ കമാൻഡ് ഏത് പ്രോസസ് പോർട്ടിന്റെ ഉടമയാണെന്നും ഏത് വിലാസത്തിൽ അത് കേൾക്കുന്നുവെന്നും കാണിക്കുന്നു. രണ്ടാമത്തേത് ക്ലയന്റ് യഥാർത്ഥത്തിൽ സ്വീകരിക്കുന്ന സർട്ടിഫിക്കറ്റ് പ്രിന്റ് ചെയ്യുന്നു, അതാണ് പോർട്ട് നമ്പറിന് പകരം വയ്ക്കാനാകാത്ത ഐഡന്റിറ്റി പരിശോധന.

ഒരു റൂട്ടഡ് VPN ചേർക്കുന്നതും റാപ്പർ ചെയ്യാത്തതും

റൂട്ടഡ് VPN ഒരു ഇന്റർഫേസ് ഇൻസ്റ്റാൾ ചെയ്യുന്നു, തിരഞ്ഞെടുത്ത പ്രിഫിക്സുകളുടെ ഉടമസ്ഥത ഏറ്റെടുക്കുന്നു, ഹോസ്റ്റിന്റെ റൂട്ടിംഗിലും ആക്സസ് നയത്തിലും സംയോജിക്കുന്നു. മെഷീനിലെ ഓരോ ആപ്ലിക്കേഷനും ടണൽ ഉണ്ടെന്ന് അറിയാതെ പ്രയോജനം നേടുന്നു. റാപ്പർ ആ വ്യാപ്തി ഒരു കോൺഫിഗർ ചെയ്ത ശ്രോതാവിന് നൽകി അവിടെ നിർത്തുന്നു.

പ്രവേശനാനുമതി വീണ്ടും വെവ്വേറെയാണ്. ക്ലയന്റിനെ പ്രാമാണീകരിക്കുന്ന VPN ക്ലയന്റിന് ഏത് ഉറവിടങ്ങളിൽ എത്താമെന്ന് പറയുന്ന അധികാരം ഇപ്പോഴും ആവശ്യപ്പെടുന്നു, പീയറിനെ പ്രാമാണീകരിക്കുന്ന റാപ്പർ സ്വന്തം അനുമതികൾ നടപ്പാക്കുന്ന ബാക്ക്‌എൻഡും ഇപ്പോഴും ആവശ്യപ്പെടുന്നു.

സാധുവായ ഒരു സംയോജനമുണ്ട്: ബോധപൂർവം പിന്തുണയ്ക്കുന്ന ഒരു TCP ക്രമീകരണത്തിൽ TLS റാപ്പറിനുള്ളിൽ വഹിക്കുന്ന VPN പ്രോട്ടോക്കോൾ. അത് രണ്ട് പാളികൾ അടുക്കുന്നു, റാപ്പറിനെയും VPN-നെയും ഒരേ തരത്തിലുള്ള വസ്തുവാക്കുന്നില്ല.

പരാജയപ്പെടുന്ന അതിർത്തി താരതമ്യം ചെയ്യുക

എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് ഫ്രണ്ട്-എൻഡ് വിലാസം, ശ്രോതാവ്, പീയർ ഐഡന്റിറ്റി, ബാക്ക്‌എൻഡ് ലക്ഷ്യം, ആപ്ലിക്കേഷൻ പ്രവർത്തനം എന്നിവ എഴുതിവയ്ക്കുക. ശേഷം താരതമ്യപ്പെടുത്താവുന്നതിനെ താരതമ്യപ്പെടുത്തുക: മറ്റൊരു ഹോസ്റ്റ്നാമോ പോർട്ടോ വഴിയുള്ള വിജയം ഫയർവാളിന്റെയും സർട്ടിഫിക്കറ്റിന്റെയും വ്യവസ്ഥകൾ ഒരുപോലെയായിരുന്നു എന്ന് തെളിയിക്കുന്നില്ല.

നിരസിക്കപ്പെട്ട ബാക്ക്‌എൻഡ് അഭ്യർത്ഥന ഫ്രണ്ട്-എൻഡ് ഐഡന്റിറ്റി പരിശോധന നിർത്തലാക്കി ഒരിക്കലും പരിഹരിക്കരുത്. അത് രോഗനിർണയം ചെയ്യാവുന്ന അധികാര പരാജയത്തെ രോഗനിർണയം ചെയ്യാനാകാത്ത വിശ്വാസ പരാജയത്തിന് പകരം വയ്ക്കുന്നു.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

പേര് തിരഞ്ഞെടുത്ത വിലാസത്തിൽ പിൻ ചെയ്യുന്നത് പേര് പരിഹരിക്കലിനെ എത്തിച്ചേരലിൽ നിന്ന് വേർതിരിക്കുന്നു, രണ്ടിൽ ഏതാണ് കേടായതെന്ന് അറിയാനുള്ള വേഗതയേറിയ വഴി സാധാരണയായി ഇതാണ്.

പ്രധാനപ്പെട്ട താരതമ്യം സംരക്ഷിത അറ്റ-ജോഡി, വഹിക്കുന്ന പേലോഡ്, അത് ഉപയോഗിക്കുന്ന ആപ്ലിക്കേഷനുകൾ, ലക്ഷ്യസ്ഥാനത്ത് നടപ്പാക്കുന്ന അനുമതി എന്നിവയെ പേരെടുത്ത് പറയുന്നു. TLS ആ വിവരണത്തിന് സംഭാവന നൽകുന്നു, അത് പൂർത്തിയാക്കാതെ.