SSL VPN jew kisi TLS? Qabbel il-fruntiera li falliet

Żewġ disinji jistgħu jmexxu TLS fuq il-port 443 u jfissru affarijiet għal kollox differenti. Kisi jipproteġi konnessjoni waħda konfigurata bejn port lokali u backend imbiegħed. Disinn ta’ aċċess għan-netwerk iġorr traffiku magħżul u jbiddel x’jista’ jilħaq il-klijent. Ħaddem l-erba’ verifiki hawn taħt fl-ordni u tkun taf liema wieħed qed tħares lejh, li normalment biżżejjed biex tkun taf liema saff falla.

Ibda mill-konnessjoni li fil-fatt konfigurajt

Ikteb il-parti ta’ quddiem u ta’ wara qabel ma tqabbel prodotti. Kisi jisma’ fuq indirizz lokali u jgħaddi għal wieħed imbiegħed, jew iqajjem program fuq in-naħa mbiegħda, u dak il-par huwa l-kuntratt kollu tiegħu. L-applikazzjonijiet l-oħra tal-klijent ma jafu xejn dwaru sakemm ma tħareshomx lejh. Dan mhuwiex difett tal-għodda, għal dan l-għodda teżisti.

Il-kuntratt ta’ disinn tan-netwerk huwa differenti, u huwa espress f’rotot u politika, mhux f’par ta’ ports.

Innota liema miż-żewġ deskrizzjonijiet taqbel mad-dijagramma tiegħek. Jekk it-tweġiba hija mappa waħda tal-port b’ċertifikat fin-nofs, għandek kisi anki meta l-isem tal-prodott jgħid VPN. Jekk it-tweġiba hija interface ta’ tunnel u bidliet fir-rotot, għandek disinn tan-netwerk anki meta jaħdem fuq 443.

Ivverifika ma’ xiex jgħaqqad il-kisi

Aqra s-settings tas-smigħ u tal-konnessjoni u segwihom sal-backend veru. Kisi li jgħaddi għal port ta’ database ma jiftaħx applikazzjoni web, u kisi li jmexxi program iqajjem dak il-program minflok ma jippubblika kull ħaġa oħra li tmexxi l-host. Il-backend huwa l-unika ħaġa li l-kisi jaf biha.

Imbagħad iddeċiedi jekk il-fluss mgħoddi huwiex test sempliċi meta jispiċċa TLS. Konnessjoni miksija tipproteġi s-segment bejn iż-żewġ kisi, u dak li jiġri wara l-kisi mbiegħed hija kwistjoni separata. Għalhekk li tkisi xi ħaġa li diġà ġġorr il-protezzjoni tagħha xi drabi huwa sensat u xi drabi huma biss partijiet li jiċċaqilqu żejda. Ispezzjona l-qabża li jmiss minflok ma tassumi waħda mit-tweġibiet.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

L-ewwel kmand juri ċ-ċertifikat li fil-fatt jiġi offrut lil klijent, u t-tieni juri x’inhu jisma’ fuq il-host. Qabbel dak l-isem taċ-ċertifikat ma’ dak li kont qed tistenna qabel ma taqra xi ħaġa oħra.

Ivverifika liema traffiku jġorr id-disinn

Id-disinji ta’ aċċess għan-netwerk iġorru traffiku magħżul u jintegraw mal-routing u l-politika ta’ aċċess tal-klijent. L-ammissjoni mhijiex awtorizzazzjoni, għalhekk konnessjoni awtentikata xorta għandha bżonn deċiżjoni dwar liema riżorsi tista’ tilħaq. Portal mingħajr klijent huwa t-tielet mudell li jagħmel proxy tal-operazzjonijiet appoġġjati mingħajr qatt ma jidher bħala interface tun.

It-tikketta tal-prodott ma tgħidlekx liema minn dawn il-mudelli xtrajt, u n-numru tal-port jgħid saħansitra inqas.

Is-saffi huma possibbli u m’għandhomx iħawdu l-paragun. Protokoll ta’ tunnel jista’ hu stess jiġi miksi bi TLS fi tqassim TCP appoġġjat, li jżid saff madwar it-tunnel mingħajr ma jagħmel il-kisi t-tunnel. Hija deċiżjoni tad-disinn b’imġiba tal-prestazzjoni u tal-falliment tagħha, u tistħoqq linja fid-dijagramma. Innotaha, imbagħad qabbel il-mudelli bażiċi u mhux il-kisi ta’ barra.

Ivverifika l-fruntiera li falliet, mhux it-tikketta

Ikteb il-fatti għal tentattiv wieħed fallut: indirizz tal-parti ta’ quddiem, is-semmiegħ, l-identità li vverifika l-klijent, il-mira tal-backend u l-operazzjoni mitluba. Handshake li jirnexxi jipprova li TLS ta’ barra tlestiet u ma jgħid xejn dwar il-backend. Ċaħda mill-backend hija avveniment differenti minn falliment tal-identità fil-parti ta’ quddiem, u l-ebda waħda ma ttejjeb billi tneħħi -verify_return_error mill-klijent. Qabbel xebh ma’ xebh, għax suċċess permezz ta’ isem ta’ host jew port ieħor ma jurix li l-kundizzjonijiet kienu l-istess.

Il-port 443 huwa konvenzjoni li tħalli TLS jgħaddi minn kaxxi intermedji. Ma tagħmilx traffiku arbitrarju jixbah talba web għal apparat tal-politika.

Iftaħ b’sentenza waħda li ssemmi l-par tal-punti tat-tarf, x’jinġarr, liema applikazzjonijiet jużawh u liema permess tinforza d-destinazzjoni. Disinn li ma jistax jimla dawk l-erba’ vojtijiet mhuwiex lest, x’ikun jgħid it-tikketta tiegħu. Dik is-sentenza hija wkoll l-aktar mod mgħaġġel biex tispjega d-disinn lil min jippossjedi l-firewall.