SSL VPN atau pembalut TLS? Bandingkan sempadan yang gagal

Dua reka bentuk boleh menjalankan TLS pada port 443 dan bermaksud perkara yang sama sekali berbeza. Pembalut melindungi satu sambungan yang dikonfigurasi antara port tempatan dan backend jauh. Reka bentuk akses rangkaian membawa trafik terpilih dan mengubah apa yang boleh dicapai oleh klien. Lakukan empat semakan di bawah mengikut urutan dan anda akan tahu yang mana sedang anda lihat, yang biasanya cukup untuk tahu lapisan mana yang gagal.

Mulakan dengan sambungan yang benar-benar anda konfigurasi

Catat hujung hadapan dan hujung belakang sebelum membandingkan produk. Pembalut mendengar pada alamat tempatan dan memajukan ke alamat jauh, atau memulakan program di sisi jauh, dan pasangan itulah seluruh kontraknya. Aplikasi lain klien tidak tahu apa-apa tentangnya melainkan anda mengarahkannya ke sana. Itu bukan kekurangan alat, itulah tujuan alat.

Kontrak reka bentuk rangkaian berbeza, dan dinyatakan dalam laluan dan dasar, bukan dalam pasangan port.

Perhatikan yang mana antara dua huraian itu sepadan dengan rajah anda. Jika jawapannya satu pemetaan port dengan sijil di tengah, anda mempunyai pembalut walaupun nama produk menyebut VPN. Jika jawapannya antara muka terowong dan perubahan laluan, anda mempunyai reka bentuk rangkaian walaupun ia berjalan pada 443.

Semak apa yang disambungkan oleh pembalut

Baca tetapan mendengar dan menyambung dan ikutinya sehingga ke backend sebenar. Pembalut yang memajukan ke port pangkalan data tidak membuka aplikasi web, dan pembalut yang menjalankan program memulakan program itu dan bukan menerbitkan segala yang lain yang dijalankan oleh hos. Backend ialah satu-satunya perkara yang diketahui oleh pembalut.

Kemudian tentukan sama ada aliran yang dimajukan itu teks biasa selepas TLS tamat. Sambungan terbungkus melindungi segmen antara dua pembalut, dan apa yang berlaku selepas pembalut jauh adalah soalan berasingan. Itulah sebabnya membalut sesuatu yang sudah membawa perlindungannya sendiri kadang-kadang wajar dan kadang-kadang hanya bahagian bergerak tambahan. Periksa lonjakan seterusnya dan bukannya menganggap mana-mana jawapan.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Perintah pertama menunjukkan sijil yang benar-benar ditawarkan kepada klien, dan yang kedua menunjukkan apa yang mendengar pada hos. Bandingkan nama sijil itu dengan yang anda jangkakan sebelum membaca apa-apa lagi.

Semak trafik apa yang dibawa oleh reka bentuk

Reka bentuk akses rangkaian membawa trafik terpilih dan berintegrasi dengan penghalaan dan dasar akses klien. Kemasukan bukan kebenaran, jadi sambungan yang disahkan masih memerlukan keputusan tentang sumber mana yang boleh dicapai. Portal tanpa klien ialah model ketiga yang memproksi operasi yang disokong tanpa pernah muncul sebagai antara muka tun.

Label produk tidak memberitahu model mana yang anda beli, dan nombor port memberitahu lebih sedikit lagi.

Lapisan boleh dilakukan dan tidak sepatutnya mengelirukan perbandingan. Protokol terowong itu sendiri boleh dibalut dalam TLS dalam susunan TCP yang disokong, yang menambah lapisan di sekeliling terowong tanpa menjadikan pembalut itu terowong. Itu pilihan reka bentuk dengan tingkah laku prestasi dan kegagalannya sendiri, dan ia wajar mendapat satu baris dalam rajah. Catatkannya, kemudian bandingkan model asas dan bukan pembalut luar.

Semak sempadan yang gagal, bukan label

Catat fakta untuk satu percubaan yang gagal: alamat hujung hadapan, pendengar, identiti yang disahkan oleh klien, sasaran backend dan operasi yang diminta. Jabat tangan yang berjaya membuktikan TLS luar selesai dan tidak berkata apa-apa tentang backend. Penolakan backend ialah peristiwa berbeza daripada kegagalan identiti di hujung hadapan, dan kedua-duanya tidak bertambah baik dengan membuang -verify_return_error daripada klien. Bandingkan yang setara dengan yang setara, kerana kejayaan melalui nama hos atau port lain tidak menunjukkan syaratnya sama.

Port 443 ialah konvensyen yang membenarkan TLS melalui kotak tengah. Ia tidak menjadikan trafik sewenang-wenangnya menyerupai permintaan web kepada peranti dasar.

Akhiri dengan satu ayat yang menamakan pasangan titik hujung, apa yang dibawa, aplikasi mana yang menggunakannya dan kebenaran apa yang dikuatkuasakan oleh destinasi. Reka bentuk yang tidak dapat mengisi empat ruang itu belum selesai, apa pun yang didakwa oleh labelnya. Ayat itu juga cara terpantas menerangkan reka bentuk kepada sesiapa yang memiliki firewall.