TLS nattiv, forward SSH jew VPN għal servizz wieħed tal-cloud

Il-mistoqsija rari tkun jekk għandx jiġi encrypted xi ħaġa bejn żewġ magni tal-cloud; hija liema interface qed tencryptja u min qed jiċċekkja l-identità ta’ min. Nibda dawn il-konversazzjonijiet mis-servizz minflok mid-dijagramma tan-netwerk, għax is-servizz diġà jaf xi jkollu bżonn. Tliet fruntieri jkopru l-biċċa l-kbira tal-każijiet: it-TLS tal-applikazzjoni stess, port TCP wieħed forwardjat permezz ta’ SSH, u overlay irrouted li jagħti indirizz lil kull parteċipant. Mhumiex ikklassifikati bil-qawwa, imma b’kemm ikopru mill-problema.

Ibda mis-servizz, mhux min-netwerk

Imxi ’l barra mill-proċess. Liema protokoll jitkellem, liema isem se jivverifika l-klijent, u min hu permess jiftaħ konnessjoni xejn? Dawn it-tliet tweġibiet jeliminaw għażliet aktar malajr minn kwalunkwe tabella ta’ paragun, u l-konfigurazzjoni tas-servizz stess normalment tweġibhom fi ftit minuti.

Ħu API interna żgħira li diġà sservi HTTPS fuq il-port 8443 b’ċertifikat għal api.internal.example. ss -ltnp fuq il-host juri ma’ xiex hija marbuta, u openssl s_client -connect 127.0.0.1:8443 -verify_hostname api.internal.example juri jekk iċ-ċertifikat huwiex validu għall-isem li l-klijent se juża fil-fatt. Jekk it-tnejn huma sħaħ, is-servizz jista’ jipproteġi l-fluss tiegħu stess u jibqa’ biss l-aċċessabbiltà. Din hija problema ħafna iżgħar milli tibni netwerk.

Pass 1: is-servizz jipproteġi lilu nnifsu?

Din hija l-għażla li tieħu meta taqbel, u taqbel aktar spiss milli jassumu t-timijiet. L-encryption tas-servizz tkopri t-triq kollha bejn il-klijent u s-server, inkluż kull qabża bejniethom, li ebda tunnel madwar il-nofs ma jtejjeb. Issettja l-isem mistenni u l-fiduċja b’mod espliċitu minflok ma tiddependi fuq dak li l-maħżen default tal-klijent fih b’kumbinazzjoni.

L-encryption u l-aċċessabbiltà jibqgħu kontrolli separati, u l-għaqda tagħhom hija fejn din l-għażla tiżbalja. Servizz TLS fuq listener pubbliku bla limiti xorta jilqa’ tentattivi ta’ konnessjoni mingħand kulħadd, għalhekk il-listener u r-regoli tan-netwerk għandhom jiġu definiti indipendentement mill-fatt li l-payload huwa protett. Imbagħad iċċekkja d-dipendenzi, għax API fuq TLS ma tgħid xejn dwar il-punt ta’ skoperta, il-port tal-amministrazzjoni jew il-kanal tat-trasferiment tal-massa ħdejh. Kull wieħed minnhom jeħtieġ tweġiba tiegħu, u aħwa wieħed mhux protett huwa biżżejjed biex il-fruntiera kollha ssir fizzjoni.

Pass 2: port TCP wieħed hija l-ħtieġa kollha?

Meta l-ħtieġa hija verament port TCP wieħed, forward huwa l-iżgħar ħaġa li taħdem. Forward SSH lokali jġorr dak il-port permezz ta’ konnessjoni awtentikata li diġà teżisti.

Il-forma hija ssh -N -L 8443:127.0.0.1:8443 [email protected], u d-dettall li jgħodd huwa l-indirizz fil-mira: 127.0.0.1 jiġi riżolt fuq in-naħa remota, għalhekk il-konnessjoni mas-servizz tinfetaħ mill-bastion u mhux mil-laptop tiegħek. Orbot il-listener lokali b’mod dejjaq bħala -L 127.0.0.1:8443:... sabiex ma tippubblikax is-servizz fuq in-netwerk lokali tiegħek stess b’inċident. Fuq in-naħa tas-server, illimita dak li l-kont jista’ jgħaddi minflok ma tafda fl-imġiba tajba tal-klijent. PermitOpen, AllowTcpForwarding local u GatewayPorts no default huma t-tliet settijiet li jibdlu relay ġenerali f’kanal speċifiku.

Il-kuntratt huwa dejjaq fiż-żewġ direzzjonijiet. SSH jipproteġi l-kanal tiegħu stess, u qabża oħra mill-bastion għal applikazzjoni oħra teħtieġ il-protezzjoni tagħha. Servizz li jisma’ biss fuq il-loopback tal-bastion għandu espożizzjoni differenti ħafna minn wieħed li jintlaħaq permezz ta’ netwerk ieħor, u l-forward ma jibdilx dan. Żomm l-awtentikazzjoni u l-kontrolli TLS tal-applikazzjoni minflok ma tittratta t-tunnel bħala s-sostitut tagħhom.

Dan jaħdem tajjeb għal konnessjoni waħda b’sid wieħed. Fuq skala kbira jsir sistema: konflitti tal-port lokali, superviżjoni, rotazzjoni tal-keys u l-mistoqsija min jerġa’ jibda l-forward wara restart.

Pass 3: l-irrouting hija l-ħtieġa vera?

Dik il-lista hija l-ispiża onesta tal-iżgħar għażla, u għalhekk it-timijiet eventwalment jissostitwixxu numru ta’ kmandi tal-isfond minsija b’xi ħaġa ġestita. Is-sostituzzjoni mhijiex VPN awtomatikament. Jekk il-ħtieġa għadha port TCP wieħed, forward sorveljat b’sid dokumentat huwa orħos biex tħaddmu minn overlay u jonqos b’modi li tista’ tarahom. Kejjel is-sjieda operattiva qabel ma tkejjel l-eleganza.

L-irrouting issir it-tweġiba t-tajba meta l-irrouting hija l-ħtieġa. Diversi applikazzjonijiet li jeħtieġu konnettività IP ordinarja, protokolli li forward TCP ma jistax iġorr, jew servizzi li jiċċaqilqu bejn hosts kollha jindikaw l-istess direzzjoni.

Overlay jagħti lill-parteċipanti indirizz u rotta, u mbagħad jibda x-xogħol veru: firxiet li ma jikkoinċidux, sjieda tar-rotot, DNS, reġistrazzjoni, revoka u x’jiġri meta sieħeb jisparixxi. Xejn minn dan ma jiġi mal-indirizz. Sieħeb ammess fl-overlay lanqas mhu awtomatikament awtorizzat għal kull operazzjoni fid-destinazzjoni, għalhekk l-awtentikazzjoni fil-livell tas-servizz tibqa’.

X’għandek wara

Żewġ affarijiet jappartjenu għar-rekord li tħalli warajk. L-ewwel hija l-identità li l-klijent huwa mistenni jivverifika, għax kull waħda minn dawn il-fruntieri tmur għall-agħar bil-kwiet malli kontroll tal-isem jiġi mraħħan biex xi ħaġa taħdem. It-tieni hija l-pass tat-tneħħija: liema key, liema regola jew liema rotta tisparixxi meta l-aċċess jintemm, u min iwettaqha.

Il-mixja tintemm fejn bdiet, mis-servizz. Agħżel il-fruntiera li tkopri t-traffiku reali u tivverifika s-sħab li kellek ħsieb tivverifika, imbagħad innota kif l-aċċess jiġi aġġornat, immonitorjat u mneħħi. Ir-referenza OpenSSH hija l-post biex tikkonferma l-għażliet tal-forward qabel ma twiegħed kuntratt dejjaq. Jekk ma tistax tiddeskrivi l-pass tat-tneħħija f’sentenza waħda, il-fruntiera hija akbar mill-problema.