TLS र‍ॅपर तुम्हाला खाजगी नेटवर्क देतो का? सहसा नाही

TLS दोन टोकांमधील एक वाहिनी संरक्षित करतो आणि तिच्या आत कोणत्या सेवा आहेत याबद्दल काहीही सांगत नाही। रॅपर त्या वाहिनीचे एक संरचित फॉरवर्डर बनवतो, एका श्रोत्यासाठी, एका गंतव्याकडे। SSL VPN म्हणून विकला जाणारा उत्पाद सहसा त्याच प्रिमिटिव्हभोवती इंटरफेस, रूट सारणी आणि प्रवेश मॉडेल जोडतो। दोन्ही गोष्टी एकत्र करणे हेच कार्यरत बोगद्याला नेटवर्क प्रवेश समजण्याचे कारण आहे।

सेवा रॅपर प्रत्यक्षात काय जोडतो

रॅपर स्थानिक पोर्टवर ऐकतो आणि जे येते ते संरचित गंतव्याकडे पाठवतो, ते होस्ट आणि पोर्ट असो वा स्थानिक कार्यक्रम। ते गंतव्य ज्याने संरचना फाइल लिहिली तो निवडतो, एका वेळी एक श्रोता। पॅकेज स्थापित केल्याने कोणतेही मार्ग, आभासी इंटरफेस किंवा स्पष्टपणे सूचीबद्ध नसलेल्या कोणत्याही गोष्टीसाठी पोहोच निर्माण होत नाही। पॅकेजच्या वर्णनापूर्वी संरचना वाचा, कारण वर्णन वापराचा एक वर्ग व्यापते आणि फाइल तुमची व्यापते।

म्हणून रॅपरबद्दलचा उपयुक्त प्रश्न तो एन्क्रिप्ट करतो का हा नाही, तर तो जी साखळी बनवतो तिच्या प्रत्येक टोकावर काय आहे हा आहे।

application -> local listener -> TLS connection -> remote listener -> configured backend

ती साखळी मार्केटिंग नावातून नाही, संरचनेतून वाचा। प्रत्येक बाण स्वतःच्या पत्त्यासह आणि स्वतःच्या प्रवेश नियमांसह वेगळे नेटवर्क हॉप आहे।

TLS वाहिनी कुठे संपते ते शोधा

रॅपर TLS संपवत असेल, तर तो पुढे पाठवत असलेले सर्व काही नवीन गुणधर्मांची नवीन जोडणी आहे। प्रवाह खाजगी विभागात साधा मजकूर असू शकतो, किंवा आत दुसरे संरक्षित प्रोटोकॉल वाहून नेऊ शकतो। बॅकएंड संरचना न वाचता यापैकी कोणतेही गृहीत धरणे हेच लोक बाह्य स्तर अशा डेटाचे संरक्षण करतो जो तो पुन्हा कधीच पाहत नाही या निष्कर्षापर्यंत पोहोचण्याचे कारण आहे। पाठवलेल्या हॉपला स्वतःच्या पत्त्यावर आणि पोर्टवर स्वतःची तपासणी मिळायला हवी।

श्रोता आणि बॅकएंड स्वतंत्रपणे तपासा, कारण समोरच्या दारावर यशस्वी होणारा हातमिळवणी त्याच्या मागील सेवेबद्दल काहीही सांगत नाही।

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

पहिला आदेश दाखवतो की कोणती प्रक्रिया पोर्टची मालक आहे आणि ती कोणत्या पत्त्यावर ऐकते। दुसरा क्लायंटला प्रत्यक्ष मिळणारे प्रमाणपत्र छापतो, आणि हीच ती ओळख तपासणी आहे जी पोर्ट क्रमांक बदलू शकत नाही।

राउटेड VPN काय जोडतो आणि रॅपर काय करत नाही

राउटेड VPN इंटरफेस स्थापित करतो, निवडलेल्या उपसर्गांची मालकी घेतो आणि होस्टच्या राउटिंग आणि प्रवेश धोरणाशी एकत्र येतो। मशीनवरील प्रत्येक अनुप्रयोग बोगदा आहे हे न जाणता फायदा घेतो। रॅपर ती पोहोच एका संरचित श्रोत्याला देतो आणि तिथेच थांबतो।

प्रवेश पुन्हा वेगळा आहे। क्लायंटची प्रमाणिती करणारा VPN अजूनही क्लायंट कोणत्या स्रोतांपर्यंत पोहोचू शकतो हे सांगणारा अधिकार आवश्यक मानतो, आणि सहकार्याची प्रमाणिती करणारा रॅपर अजूनही स्वतःच्या परवानग्या लागू करणारा बॅकएंड आवश्यक मानतो।

एक कायदेशीर संयोजन आहे: जाणीवपूर्वक समर्थित TCP मांडणीवर TLS रॅपरच्या आत वाहून नेलेला VPN प्रोटोकॉल। ते दोन स्तर रचते, आणि रॅपर व VPN यांना एकाच प्रकारची वस्तू करत नाही।

अपयशी ठरणारी सीमा तुलना करा

काहीही बदलण्यापूर्वी फ्रंट-एंड पत्ता, श्रोता, सहकार्याची ओळख, बॅकएंड लक्ष्य आणि अनुप्रयोग क्रिया लिहून घ्या। नंतर तुलनीयाची तुलनीयाशी तुलना करा: दुसऱ्या होस्टनावातून किंवा पोर्टमधून मिळालेले यश फायरवॉल आणि प्रमाणपत्राच्या अटी सारख्याच होत्या हे सिद्ध करत नाही।

नाकारलेली बॅकएंड विनंती फ्रंट-एंड ओळख पडताळणी बंद करून कधीही दुरुस्त करू नये। ते निदान करता येणारी अधिकृतता अयशस्वीता निदान न करता येणाऱ्या विश्वास अयशस्वीतेने बदलते।

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

नाव निवडलेल्या पत्त्यावर पिन करणे नाव निराकरणाला पोहोचेपासून वेगळे करते, आणि दोन्हींपैकी कोणते तुटले आहे हे जाणून घेण्याचा सर्वात वेगवान मार्ग सहसा हाच असतो।

महत्त्वाची तुलना संरक्षित टोक-जोडी, वाहून नेलेला पेलोड, तो वापरणारे अनुप्रयोग आणि गंतव्यावर लागू केलेली परवानगी यांची नावे घेते। TLS त्या वर्णनात योगदान देते, ते पूर्ण न करता।