TLS бүрхүүл танд хувийн сүлжээ өгдөг үү? Ихэвчлэн үгүй

TLS хоёр төгсгөлийн хооронд сувгийг хамгаалдаг бөгөөд дотор нь ямар үйлчилгээ байгаа талаар юу ч хэлдэггүй. Бүрхүүл тэр сувгийг нэг тохируулсан дамжуулагч болгоно: нэг сонсогч, нэг очих газар. SSL VPN нэрээр зарагддаг бүтээгдэхүүн ихэвчлэн ижил примитивийн эргэн тойронд интерфэйс, маршрутын хүснэгт, хандалтын загвар нэмдэг. Хоёулыг хольж зөрүүлэх нь ажиллаж буй туннелийг сүлжээний хандалт гэж андуурах шалтгаан юм.

Үйлчилгээний бүрхүүл юуг үнэхээр холбодог

Бүрхүүл локал порт дээр сонсож, ирснийг тохируулсан очих газар руу дамжуулна, энэ нь хост ба порт эсвэл локал программ байж болно. Тэр очих газрыг тохиргооны файлыг бичсэн хүн сонгодог, нэг удаад нэг сонсогч. Багцыг суулгах нь маршрут, виртуал интерфэйс эсвэл тодорхой жагсаагаагүй зүйлд хүрэх боломжийг үүсгэдэггүй. Тохиргоог багцын тайлбараас өмнө уншина уу, учир нь тайлбар хэрэглээний ангийг хамардаг бол файл таны тохиолдлыг хамардаг.

Тиймээс бүрхүүлийн тухай ашигтай асуулт нь шифрлэдэг эсэх биш, харин түүний барьж буй гинжин хэлхээний төгсгөл бүрт юу байгаа вэ гэдэг юм.

application -> local listener -> TLS connection -> remote listener -> configured backend

Тэр гинжийг маркетингийн нэрнээс биш тохиргооноос уншина уу. Сум бүр өөрийн хаяг, өөрийн хандалтын дүрэмтэй тусдаа сүлжээний алхам юм.

TLS суваг хаана төгсдөгийг ол

Хэрэв бүрхүүл TLS-ийг дуусгадаг бол цааш дамжуулж буй бүхэн шинэ шинж чанартай шинэ холболт юм. Урсгал нь хувийн сегмент дэх энгийн текст байж болно, эсвэл дотроо өөр хамгаалагдсан протокол зөөж болно. Backend-ийн тохиргоог уншилгүйгээр аль нэгийг нь таамаглах нь гадаад давхарга өөрөө дахин хэзээ ч хардаггүй өгөгдлийг хамгаалдаг гэсэн дүгнэлтэд хүмүүс хүрэх зам юм. Дамжуулсан алхам нь өөрийн хаяг, порт дээр өөрийн шалгалтыг хүртэх ёстой.

Сонсогч ба backend-ийг тусад нь шалгана уу, учир нь урд хаалган дээр амжилттай гар барих нь түүний ард байгаа үйлчилгээний талаар юу ч хэлдэггүй.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Эхний команд нь аль процесс портыг эзэмшиж, ямар хаяг дээр сонсож байгааг харуулна. Хоёр дахь нь клиент бодитоор хүлээн авдаг сертификатыг хэвлэнэ, энэ нь портын дугаараар орлуулж болохгүй таних шалгалт юм.

Маршрутлагдсан VPN юу нэмдэг, бүрхүүл юу нэмдэггүй

Маршрутлагдсан VPN интерфэйс суулгаж, сонгосон префиксүүдийн эзэмшлийг авч, хостын маршрутлалт ба хандалтын бодлоготой нэгддэг. Машины программ бүр туннель байгааг мэдэхгүйгээр ашиг хүртдэг. Бүрхүүл тэр хүрээг нэг тохируулсан сонсогчид өгөөд тэнд зогсдог.

Хүлээн авах нь дахин тусдаа. Клиентийг баталгаажуулдаг VPN нь клиент ямар нөөцөд хүрч болохыг хэлсэн зөвшөөрлийг одоо ч шаарддаг бөгөөд түншийг баталгаажуулдаг бүрхүүл нь өөрийн зөвшөөрлүүдийг хэрэгжүүлдэг backend-ийг одоо ч шаарддаг.

Хууль ёсны хослол байдаг: санаатайгаар дэмжигдсэн TCP зохион байгуулалт дээр TLS бүрхүүлийн дотор зөөгддөг VPN протокол. Энэ нь хоёр давхаргыг давхарладаг бөгөөд бүрхүүл болон VPN-ийг нэг төрлийн объект болгодоггүй.

Алдагдаж буй хил хязгаарыг харьцуул

Ямар нэг зүйлийг өөрчлөхөөс өмнө урд хэсгийн хаяг, сонсогч, түншийн таних мэдээлэл, backend-ийн зорилт, програмын үйлдлийг бичиж авна уу. Дараа нь харьцуулж болохыг харьцуул: өөр хостны нэр эсвэл портоор гарсан амжилт нь галт хана болон сертификатын нөхцөл ижил байсныг нотлохгүй.

Татгалзсан backend хүсэлтийг урд хэсгийн таних шалгалтыг унтрааж хэзээ ч засах ёсгүй. Энэ нь оношлогдох боломжтой зөвшөөрлийн алдааг оношлогдохгүй итгэлийн алдаагаар солино.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Нэрийг сонгосон хаягт бэхлэх нь нэрийн шийдвэрийг хүрэх боломжоос тусгаарладаг бөгөөд аль нь эвдэрснийг мэдэх хамгийн хурдан арга нь ихэвчлэн энэ юм.

Чухал харьцуулалт нь хамгаалагдсан төгсгөлийн хос, зөөгдөж буй ачаа, түүнийг ашигладаг програмууд болон очих газарт хэрэгжих зөвшөөрлийг нэрлэдэг. TLS энэ тайлбарт хувь нэмэр оруулдаг боловч үүнийг гүйцээдэггүй.