Adakah pembalut TLS memberi anda rangkaian peribadi? Biasanya tidak

TLS melindungi saluran antara dua hujung dan tidak berkata apa-apa tentang perkhidmatan yang berada di dalamnya. Pembalut menjadikan saluran itu satu penghantar yang dikonfigurasikan, untuk satu pendengar, ke satu destinasi. Produk yang dijual sebagai SSL VPN biasanya menambah antara muka, jadual penghalaan dan model akses di sekeliling primitif yang sama. Mengelirukan kedua-duanya ialah cara terowong yang berfungsi disalah anggap sebagai akses rangkaian.

Apa yang sebenarnya disambungkan oleh pembalut perkhidmatan

Pembalut mendengar pada port setempat dan menghantar apa yang tiba ke destinasi yang dikonfigurasikan, sama ada hos dan port atau program setempat. Destinasi itu dipilih oleh sesiapa yang menulis fail konfigurasi, satu pendengar pada satu masa. Memasang pakej tidak mencipta sebarang laluan, antara muka maya atau ketersampaian untuk apa-apa yang tidak disenaraikan secara jelas. Baca konfigurasi sebelum penerangan pakej, kerana penerangan meliputi satu kelas penggunaan dan fail itu meliputi anda.

Jadi soalan berguna tentang pembalut bukanlah sama ada ia menyulitkan, tetapi apa yang berdiri di setiap hujung rantaian yang dibinanya.

application -> local listener -> TLS connection -> remote listener -> configured backend

Baca rantaian itu daripada konfigurasi, bukan daripada nama pemasaran. Setiap anak panah ialah satu lonjakan rangkaian berasingan dengan alamat dan peraturan aksesnya sendiri.

Cari di mana saluran TLS berakhir

Jika pembalut menamatkan TLS, semua yang dihantarnya seterusnya ialah sambungan baharu dengan sifat baharu. Aliran itu mungkin teks biasa pada segmen peribadi, atau ia mungkin membawa protokol terlindung lain di dalamnya. Menganggap mana-mana satu tanpa membaca konfigurasi bahagian belakang ialah cara orang membuat kesimpulan bahawa lapisan luar melindungi data yang tidak dilihatnya lagi. Lonjakan yang dihantar itu wajar diperiksa sendiri, pada alamat dan portnya sendiri.

Periksa pendengar dan bahagian belakang secara berasingan, kerana jabat tangan yang berjaya di pintu hadapan tidak berkata apa-apa tentang perkhidmatan di belakangnya.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Perintah pertama menunjukkan proses mana yang memiliki port dan pada alamat mana ia mendengar. Yang kedua mencetak sijil yang benar-benar diterima oleh klien, dan itulah pemeriksaan identiti yang tidak boleh digantikan oleh nombor port.

Apa yang ditambah oleh VPN berpenghalaan yang tidak dilakukan oleh pembalut

VPN berpenghalaan memasang antara muka, mengambil pemilikan awalan terpilih dan berintegrasi dengan penghalaan serta dasar akses hos. Setiap aplikasi pada mesin mendapat manfaat tanpa mengetahui terowong itu wujud. Pembalut memberikan jangkauan itu kepada satu pendengar yang dikonfigurasikan dan berhenti di situ.

Kemasukan ialah perkara berasingan lagi. VPN yang mengesahkan klien masih memerlukan kebenaran yang menyatakan sumber mana yang boleh dicapai oleh klien, dan pembalut yang mengesahkan rakan masih memerlukan bahagian belakang yang menguatkuasakan kebenarannya sendiri.

Ada gabungan yang sah: protokol VPN yang dibawa di dalam pembalut TLS pada susunan TCP yang disokong secara sengaja. Itu menyusun dua lapisan, dan ia tidak menjadikan pembalut dan VPN sebagai jenis objek yang sama.

Bandingkan sempadan yang gagal

Catat alamat hadapan, pendengar, identiti rakan, sasaran bahagian belakang dan operasi aplikasi sebelum mengubah apa-apa. Kemudian bandingkan yang setanding: kejayaan melalui nama hos atau port yang berbeza tidak membuktikan bahawa syarat firewall dan sijil adalah sama.

Permintaan bahagian belakang yang ditolak tidak sepatutnya dibaiki dengan mematikan pengesahan identiti hadapan. Itu menukar kegagalan kebenaran yang boleh didiagnosis dengan kegagalan kepercayaan yang tidak boleh didiagnosis.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Menyematkan nama pada alamat terpilih memisahkan penyelesaian nama daripada ketersampaian, yang biasanya merupakan cara terpantas untuk mengetahui mana antara kedua-duanya yang rosak.

Perbandingan yang penting menamakan pasangan hujung terlindung, muatan yang dibawa, aplikasi yang menggunakannya dan kebenaran yang dikuatkuasakan di destinasi. TLS menyumbang kepada perihalan itu tanpa melengkapkannya.