Хээрийн төхөөрөмж, TLS ба VPN: аль хил юуг хамгаалах вэ

Хээрийн төхөөрөмж үйлчилгээнд холболт нээж, дизайны асуулт VPN ба TLS-ийн хоорондын сонголт хэлбэрээр ирдэг. Энэ хүрээ буруу, учир нь хоёр нь өөр ажил хийдэг. TLS аппликейшны төгсгөлийн цэгийг баталгаажуулж, яриаг хамгаалдаг; харин VPN хүртээмжийг удирдаж, тэгш түншүүдийн хооронд пакетийг хамгаалдаг. Төхөөрөмжөөс гадагш холболтыг дагаж, давхарга бүр өөрийн хариулттай.

TLS хаана дуусахыг хэлж чадахгүй бол аппликейшн үнэхээр юунд итгэдэгийг ч хэлж чадахгүй.

TLS үнэхээр хаана дуусахыг олж мэдээрэй

Төхөөрөмжийн аппликейшнаас эхэлж, гар барилтыг дуусгадаг процесс хүртэл холболтыг дагаарай. Хэрэв прокси мэйнфрэймээс өмнө TLS-ийг дуусгавал хамгаалагдсан зам прокси дээр төгсдөг. Үлдсэн үсрэлтэд өөрийн баримтжуулсан хамгаалалт хэрэгтэй.

Үүнийг таамаглалаар төгсгөлөөс төгсгөл хүртэл гэж нэрлэх нь дизайны хяналт цоорхойг баталдаг арга юм. Төгсгөлийн цэг болон итгэлийн зангууг нэг диаграммд зур.

TLS хүсэлт ба хариултыг хоёр чиглэлд зөөдөг тул хоёр чиглэлийн аппликейшнд TLS-ийн оронд VPN үндсэндээ хэрэггүй. Эсрэг нь ч үнэн: байршуулалт ижил төхөөрөмж дээрх бусад протоколд VPN-ийг одоо ч шаардаж болно.

Төхөөрөмж юуг баталгаажуулах ёстойг шийдээрэй

Серверийн таних тэмдгийн шалгалт болон төлөвлөсөн итгэлийн үндсийг тохируулна уу. Хэрэв төхөөрөмж бүр өөрийн таних тэмдгийг нотлох ёстой бол дэмжигдсэн клиент баталгаажуулалтын загварыг сонгож, төхөөрөмж бүрд тусдаа итгэмжлэл бүртгүүлээрэй. Хуваалцсан итгэмжлэл нэг хулгайлагдсан төхөөрөмжийг бүх паркийн асуудал болгоно.

Илгээхээс өмнө түлхүүрийн хамгаалалт, шинэчлэлт, хүчингүй болголт, сэргээлтийг төлөвлөөрэй. Амжилтгүй шинэчлэлтийн дараа дахин бүртгүүлж чадахгүй хээрийн төхөөрөмж газар дээрх айлчлал болж, энэ зардал гар барилтаас илүү дизайныг бүрдүүлдэг.

Дэмжигдсэн сан болон хүчинтэй удирдамжийг ашиглана уу. TLS байршуулалтын орчин үеийн удирдамж TLS 1.0 ба 1.1-ийн хэлэлцээнийг хориглож, хуучин дизайны тэмдэглэл дэх TLSv1 дурдалт шаардлага биш.

Гар барилт бүтэлгүйтвэл хаа

Бүтэлгүйтсэн гар барилт эсвэл таних тэмдгийн шалгалт чимээгүйгээр анхны нээлттэй текст протокол руу буцаж болохгүй. Тэр буцалт нь TLS-ийн ажил хаах ёстой байсан эмзэг байдал юм. Бүтэлгүйтлийг төхөөрөмжийн оператор болон үйлчилгээнд харагдуулж, мэдрэмжтэй үйлдлүүдэд хамгаалагдсан сувгийг шаардаарай. Дараа нь баталгаажсан төхөөрөмж юу хийж болохыг аппликейшны зөвшөөрөл шийдээрэг.

Холболтын наслалт, фрэймчлэл, хугацааны хязгаар, дахин оролдлогын зан төлөвийг гэрээний хэсэг болгон тодорхойлно уу. Шифрлэлт давтагдсан командыг аюулгүй болгодоггүй бөгөөд тодорхойгүй өмнөх үйлдлийн дараах дахин оролдлого аппликейшны түвшиндээх хариулт шаардадаг.

Буцалтын дүрмийг бичээрэй. «Гар барилт бүтэлгүйтвэл TLS-гүйгээр дахин холбогдоно» гэдэг нь дизайны шийдвэр бөгөөд тодорхой байх ёстой.

VPN-д зөвхөн чадах ажлыг нь өг

VPN хүртээмжийг хязгаарлаж, пакетийг өөрийн тэн хүртэл хамгаалах боломжтой. TLS аппликейшны сонгосон төгсгөлийн цэгтэй харилцааг хамгаалдаг. Тэдний төгсгөлийн цэгүүд өөр байж болох бөгөөд аль нь ч төгсгөлийн цэгийн хадгаласан өгөгдлийг эсвэл захиргааны хандалтыг хамгаалдаггүй.

Нэг механизм хурдан гэж таамаглахын оронд бодит төхөөрөмж дээр гар барилтын зардал, тогтвортой мессеж солилцоо, дахин холболтыг хэмж. Дараа нь чухал дөрвөн тохиолдлыг туршаад үзээрэй: төлөвлөсөн солилцоо, буруу серверийн таних тэмдэг, зөвшөөрөлгүй төхөөрөмж, тодорхойгүй үйлдлийн дараах дахин холболт. Тохиолдлын үр дүнг, төхөөрөмжийн харуулж буй алдааг оруулан тэмдэглээрэй.