Proxy HTTP, mina SSH jew VPN: agħżel is-saff it-tajjeb

Staqsi lil tliet inġiniera kif jilħqu servizz intern u se tikseb tliet disinni: proxy tal-web, mina SSH jew VPN sħiħa. It-tlieta jistgħu jqarrbu servizz mill-bogħod, u t-tlieta jistgħu jagħmlu t-traffiku jidher li ġej minn post ieħor. Id-differenzi jidhru aktar tard, meta l-protokoll li qed jintuża mhuwiex dak li jassumi l-għodda magħżula. Disinn li jgħaddi minn verifika mgħaġġla fil-browser normalment ifalli fl-applikazzjoni li wasslet għat-talba.

Iddeċiedi minn żewġ fatti: liema protokolli għandhom jaqsmu, u min jista' jsolvi l-ismijiet involuti. Kull ħaġa oħra hija preferenza.

Proxy jċaqlaq biss dak li jifhem

Proxy tal-web janalizza l-protokoll li għalih inbena. Il-klijent jagħtih talba u huwa jgħaddi dik it-talba 'l quddiem, għalhekk applikazzjoni mingħajr setting tal-proxy ma tipparteċipax affattu. Għall-HTTPS il-klijent jeħtieġ kanal opak, li l-proxy jipprovdi permezz ta' CONNECT minflok ma jaqra t-talba.

Il-forward dinamiku SSH jiftaħ port lokali li jitkellem SOCKS, u dak il-port iwassal fluss TCP lejn kwalunkwe destinazzjoni li jsemmi l-klijent. Il-protokolli mibnija fuq TCP ġeneralment jaħdmu permezz tiegħu. UDP le, sakemm għodda żżid appoġġ b'mod espliċitu. Forward lokali huwa saħansitra iktar dejjaq: port lokali wieħed immappjat għal host u port fissi, li jaqdi servizz wieħed magħruf u xejn aktar.

ssh -D 1080 user@bastion
ssh -L 8443:fileserver.internal:443 user@bastion

VPN iċaqlaq pakketti. Kull ma l-klijent iddirigera fil-mina jgħaddi minnha, inklużi UDP u ICMP, u għalhekk taqbel ma' rekwiżit tan-netwerk u mhux ma' konnessjoni waħda.

Xi ħadd irid isolvi l-isem

Meta l-isem fil-mira jeżisti biss fid-DNS tan-netwerk mill-bogħod, il-magna li tagħmel it-tiftixa trid tkun tista' tara dik iż-żona. Proxy tal-web jagħmel it-tiftixa hu stess, għalhekk isem intern jaħdem permezz tiegħu anki meta l-laptop ma jistax isolvi l-isem xejn. SOCKS jista' jġib ruħu bl-istess mod, imma biss jekk il-klijent jgħaddi l-isem 'il quddiem minflok ma jgħaqqad ma' indirizz li diġà solva. Dik l-għażla tinsab fil-klijent, mhux fis-server.

curl juri l-qsim b'mod ċar: bandiera waħda tgħaddi l-isem tal-host lill-proxy, oħra ssolvih l-ewwel lokalment. Bis-soluzzjoni lokali, isem li huwa biss intern ifalli qabel ma jintmess kwalunkwe mina, u l-iżball jakkuża lill-proxy għal xi ħaġa li fil-verità kienet deċiżjoni tad-DNS.

VPN tieħu t-tielet triq billi tinstalla s-solvitur privat u d-dominju tat-tiftixa ħdejn ir-rotot. Dan huwa konvenjenti, u joħloq illużjoni familjari: rotta li teżisti b'solvitur li ma jweġibx tidher eżatt bħal mina mejta, għalkemm il-pakketti jaslu għan-naħa l-oħra.

Meta n-netwerk jippermetti ħruġ wieħed biss

Ħafna netwerks korporattivi jippermettu konnessjonijiet ħierġa biss permezz ta' proxy tal-web awtentikat. OpenVPN u SSH it-tnejn jistgħu jitħaddmu hemmhekk, l-ewwel billi jittunnela t-trasport tiegħu stess mill-proxy u t-tieni permezz ta' kmand tal-proxy li jmexxi assistent CONNECT żgħir.

Mini mibnija fuq TCP jifilħu għal din ir-restrizzjoni, u VPN ibbażata fuq UDP le, li jispjega ħafna konfigurazzjonijiet li jaħdmu d-dar u jfallu fl-uffiċċju. It-tieni spiża hija faċli li titlef: mina TCP li tinġarr f'konnessjoni TCP permezz ta' proxy issa għandha żewġ saffi li jerġgħu jibagħtu, u taħt telf dik il-par tistaqta b'mod li l-ebda saff waħdu ma jipproduċi.

It-tixlit tal-intermedjarji hija kwistjoni differenti milli tagħżel saff. Iż-żieda ta' tieni proxy jew Tor tbiddel min josserva xiex, u l-pożizzjoni fil-katina tiddeċiedi liema qabża tara t-test ċifrat.

L-ordni tiswa iktar mill-għadd ta' qabżiet. Qabża ta' barra tosserva fluss ċifrat filwaqt li waħda ta' ġewwa tara t-test ċar li ġġorr, għalhekk katina hija privata daqs l-iktar ħolqa traskurata tagħha. It-taħlit ta' protokolli bejn il-qabżiet ma jtejjebx dan awtomatikament. Fil-biċċa l-kbira jagħmel il-modi ta' falliment iktar diffiċli biex taħseb fuqhom.

Indirizz iffalsifikat mhuwiex waħda mill-għażliet

Il-ħolqien ta' pakketti b'indirizz sors ta' xi ħadd ieħor ma jikseb xejn utli: it-tweġibiet jivvjaġġaw lejn is-sid veru, u ħafna netwerks sempliċement jarmu t-traffiku. Intermedjarju huwa meħtieġ preċiżament għax is-sors ma jistax jiġi inventat, u dan huwa l-ġustifikazzjoni onesta tat-tliet disinni.

Dan ukoll jillimita x'jista' jallega kull wieħed minnhom. Li tidher li ġejja minn indirizz partikolari hija kwistjoni dwar fejn dak l-indirizz huwa allokat b'mod legali u min jista' jiddirigih, mhux dwar liema għodda tista' tiffalsifika intestatura. Jekk disinn jassumi mod ieħor, l-assunzjoni tfalli fl-ewwel fornitur li jiffiltraha. Ikteb l-assunzjoni sabiex il-falliment ikun rikonoxxibbli meta jiġi.

Iddeċiedi bil-protokolli u l-ismijiet

Agħżel proxy meta klijent wieħed tal-web jeħtieġ servizz wieħed tal-web u għandu settings tal-proxy. Agħżel mina SSH meta ftit servizzi TCP magħrufa huma biżżejjed u l-aċċess SSH diġà jeżisti. Agħżel VPN meta diversi applikazzjonijiet, traffiku mhux TCP, DNS privat jew triq li tista' terġa' tintuża huma parti mill-kundizzjoni.

Imbagħad ivverifika bil-klijent veru u bl-isem veru. It-tagħbija ta' paġna permezz ta' proxy ma tgħallmek xejn dwar UDP, u t-tħaddim ta' għodda waħda fuq SOCKS ma tgħallmek xejn dwar is-solvitur tas-sistema. Aqra liema indirizz lokali rabat il-proċess u liema solvitur wieġeb. Dik hija d-differenza bejn triq li taħdem u waħda li ħadmet darba b'kumbinazzjoni.