TLS VPN ба IPsec: хянах нь зүйтэй таван талбар
TLS VPN ба IPsec VPN-г хувилбар, протоколын хувилбар, багц, түншийн таних тэмдэг болон нээлттэй хүрээгээр, мөн таны бодитоор тохируулсан алдааны үр дүнгээр харьцуулна уу.
TLS VPN-г IPsec VPN-тэй протоколын гэр бүлээр нь зэрэглэх нь хэн ч асуугаагүй асуултад хариулж, ихэвчлэн хоёр гэр бүл жилийн өмнө орхигдсон бүтцийг дурддаг. Шүүмжлэгч үнэхээр үнэлж болох зүйл бол тохиролцсон хамгаалалт, түншийн таних тэмдэг, клиентийн загвар болон нээлттэй үйлчилгээ юм. Эдгээр дөрвөн зүйл байршуулалтад харагддаг бөгөөд аль нь ч бүтээгдэхүүний шошгоноос гараагүй. Таван талбар асуугаарай, яриа тодорхой болно.
Таван талбар, шошго нь тэдгээрийн нэг биш
Эхний талбар нь дэмжигдсэн програмын хувилбар, учир нь хувилбаргүй протоколын тайлбар бол товхимол. Хоёр дахь нь тохиролцсон протоколын хувилбар бөгөөд аль бүтэц ерөнхийдөө боломжтойг шийддэг. Гурав дахь нь хамгаалалтын багц, дөрөв дэх нь түнш болон хэрэглэгчийн баталгаажуулалтын арга, тав дахь нь элсэлтийн дараа бүтээгдэхүүн олгосон хандалтын хүрээ юм.
SSL VPN шошго нь дор хаяж гурван өөр бүтээгдэхүүнийг хамарна: бүрэн сүлжээний клиент, аппликейшн прокси, хуучин хөтөч дээр суурилсан портал. Тэд өөр өөр үйлчилгээг нээж, өөр өөрөөр бүтэлгүйтдэг тул шошго хүрээний талбарыг орлож чадахгүй.
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
Баталгаажсан шифрлэлт үнэндээ юу өөрчлөх вэ
TLS 1.3 баталгаажсан шифрлэлтийг шаарддаг бөгөөд энэ нь хуучин MAC-then-encrypt бүтцийг протоколоос заавал биш болгохын оронд устгадаг. IPsec ESP-д ч мөн адил удаан хугацаанд баталгаажсан шифрлэлтийн багцууд байсан бөгөөд AES-GCM өөрийн RFC-д тодорхойлогдсон. Хоёр гэр бүлд баталгаа нь тохиролцсон багцаас ирдэг, гэр бүлийн нэрнээс биш, тиймээс талбарын жагсаалт хувилбараар эхэлдэг. Багцыг нэрлэж чадахгүй шүүмжлэгчид үнэлэх зүйл байхгүй.
Тиймээс түүхэн харьцуулалт төөрөгдүүлдэг. Хуучин TLS хувилбарт CBC багцтай холбогдсон байршуулалт болон TLS 1.3-ыг AEAD багцтай ажиллуулж буй байршуулалт ижил аюулгүй байдлын байрлал биш, хоёулаа TLS VPN байсан ч. Мөн адил хуваагдал IPsec талд орчин үеийн ESP багц ба хуучин хослолын хооронд байна.
Тохиролцсон утгуудыг уншина уу, таны төлөвлөсөн тохиргоог биш. Доорх командууд ажиллаж буй төгсгөлийн цэг болон ажиллаж буй туннель үнэндээ юу дээр тохиролцсоныг харуулна.
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasХэрэв төгсгөлийн цэг TLS 1.3-ыг тохиролцохыг хүсэхгүй бол энэ нь олдвор, сонголт биш. Хэрэв туннель таны хүлээгээгүй багцыг жагсаавал, чухал тохиргоо нь түншүүдийн сонгосон, загварт байгаа биш.
Түншийн таних тэмдэг нь тусдаа асуулт
Баталгаажаагүй түншгүй шифрлэлт трафикийг ажиглагчдаас хамгаалж, холболтод хариулсан хүнд дамжуулдаг. Түншийн баталгаажуулалт нь ямар таних тэмдэг хүлээгдэж байгаа, ямар итгэлцлийн материал үүнийг баталгаажуулах, хариулт тохирохгүй үед клиент хэрхэн ажиллахыг асуудаг. Гэрчилгээний гинж, бэхэлсэн түлхүүр, урьдчилан хуваалцсан нууц нь гурван өөр хариулт бөгөөд гурван өөр үйл ажиллагааны зардалтай.
Дараа нь хэрэглэгч эсвэл төхөөрөмжийн талаар ижил асуултуудыг тавь. Машиныг баталгаажуулж, дурын хэрэглэгчийг оруулдаг гарц, эсвэл эсрэгээрээ, бичих ёстой, таамаглах ёсгүй тодорхой байрлалтай. Элсэлтийн дараа хэрэгжих нөөцийн зөвшөөрөл нь мөн адил талбарт хамаарна, учир нь баталгаажуулалт нь зөвшөөрөл биш.
Хост нэр, гэрчилгээний шалгалтыг хадгалах нь нэвтрэх цонхны танил байдлаас илүү чухал. Шалгалтыг үл тоомсорлохоор тохируулсан клиент таны гарцыг итгэмээр дуурайлаас ялгах цорын ганц алхмыг устгасан.
Бүтээгдэхүүний нээх хил
Клиентгүй портал сонгосон аппликейшн үйлдлүүдийг гарцаар прокси болгодог тул хэрэглэгч сүлжээ биш интерфэйсэд хүрдэг. Бүрэн туннелийн клиент өөрийн маршрут, шүүлтүүрийн бодлого сонгосон зүйлийг зөөдөг бөгөөд энэ нь хамаагүй том гадаргуу юм. Хоёрыг протоколын хүчээр харьцуулах нь халдлагч тэдгээрээр дамжуулан юунд хүрч болох ялгааг алддаг. Нэг нь аппликейшн интерфэйс, нөгөө нь маршрутлагдсан сүлжээг нээдэг бөгөөд хоёулаа өөр хяналт шаарддаг.
Ямар үйлчилгээ нээлттэй, ямар үйлдэл зөвшөөрөгдсөн, гарц өөрөө юу сонсож байгааг асуу. Хэрэглэгчийн порталтай ижил хаягаас хүрэх боломжтой удирдлагын интерфэйс нь байршуулалтын олдвор бөгөөд ямар ч протоколын сонголт үүнийг нөхөхгүй.
Аппликейшн тус бүрийн хүрээ гадаргууг улам нарийсгаж, туннель унах үед алдааны зан төлөвийг ч өөрчилдөг. Бүрэн туннелийн хүрээг таамагласан загвар нь аппликейшн тус бүрийн загварт байхгүй аргаар эвдэрч, дэмжлэгийн ачаалал дагадаг.
Алдааны үр дүн ба амьдралын мөчлөгийг шийд
Баталгаажуулалт эсвэл хамгаалалт боломжгүй үед юу болох нь хяналтад хамаарах бодлогын шийдвэр юм. Хаагдсан үр дүн болон зарлаагүй шууд буцалт нь өөр үр дагавартай бөгөөд ялгаа нь функцын жагсаалтад үл үзэгдэнэ. Төлөвлөсөн зан төлөвийг хамгаалж буй нөөцийнхөө дэргэд бич.
Гарцын засварын болон дэмжлэгийн амьдралын мөчлөг, идэвхжсэн гадаад функцууд, клиентүүдийн шинэчлэлтийн замыг оруул. Зөв протоколын сонголт муу байршуулсан үйлчилгээг аюулгүй болгохгүй бөгөөд ихэнх тохиолдол тэр цоорхойд, багцад биш амьдардаг.
Таван талбар, алдааны бодлого, амьдралын мөчлөгийн эзэмшигчийг нэг хуудсанд бич. Тэр хуудас бол хяналт; протоколын гэр бүлийг харьцуулах нь санал бодол.