VPN TLS kontra IPsec: il-ħames oqsma li jixirqu reviżjoni
Qabbel VPN TLS u VPN IPsec skont il-ħruġ, il-verżjoni tal-protokoll, is-suite, l-identità ta' sħabek u l-ambitu espost, flimkien mar-riżultat tal-falliment li fil-fatt ikkonfigurajt.
L-irranġar tal-VPN TLS kontra l-VPN IPsec skont il-familja tal-protokoll iwieġeb mistoqsija li ħadd ma għamel, u normalment iċċita kostruzzjoni li ż-żewġ familji ħallew snin ilu. Dak li reviżur jista' verament jivvaluta huwa l-protezzjoni nnegozjata, l-identità tas-sħab, il-mudell tal-klijent u s-servizz espost. Dawn l-erba' affarijiet huma viżibbli f'deployment, u ħadd minnhom ma joħroġ mit-tikketta tal-prodott. Itlob ħames oqsma u l-konverżazzjoni ssir konkreta.
Ħames oqsma, u t-tikketta mhijiex waħda minnhom
L-ewwel qasam huwa l-ħruġ tas-software appoġġjat, għax deskrizzjoni tal-protokoll mingħajr verżjoni hija fuljett. It-tieni huwa l-verżjoni nnegozjata tal-protokoll, li tiddeċiedi liema kostruzzjonijiet huma saħansitra disponibbli. It-tielet hija s-suite tal-protezzjoni, ir-raba' hija l-metodu ta' awtentikazzjoni kemm għas-sħab kif ukoll għall-utent, u l-ħames huwa l-ambitu tal-aċċess li l-prodott jagħti wara l-ammissjoni.
Tikketta VPN SSL tkopri mill-inqas tliet prodotti differenti: klijent sħiħ tan-netwerk, prokuri tal-applikazzjoni u portal antik ibbażat fuq il-brawżer. Huma jesponu servizzi differenti u jonqsu b'mod differenti, għalhekk it-tikketta ma tistax tieħu post il-qasam tal-ambitu.
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
X'jinbidel verament bil-kriptaġġ awtentikat
TLS 1.3 jeħtieġ kriptaġġ awtentikat, li jneħħi l-kostruzzjoni MAC-then-encrypt aktar antika mill-protokoll minflok ma jħalliha fakultattiva. IPsec ESP kellu suites ta' kriptaġġ awtentikat għal daqshekk żmien, bl-AES-GCM definit fl-RFC tiegħu stess. Fiż-żewġ familji l-garanzija tiġi mis-suite nnegozjata u mhux mill-isem tal-familja, u għalhekk il-lista tal-oqsma tibda b'verżjoni. Reviżur li ma jistax isemmi s-suite m'għandu xejn x'jivvaluta.
Għalhekk il-paragun storiku huwa qarrieqi. Deployment imwaħħal ma' verżjoni antika ta' TLS b'suite CBC u ieħor li jħaddem TLS 1.3 b'suite AEAD mhumiex l-istess qagħda ta' sigurtà, għalkemm it-tnejn huma VPN TLS. L-istess qsim jeżisti fuq in-naħa IPsec bejn suite ESP moderna u kombinazzjoni antika.
Aqra l-valuri nnegozjati minflok il-konfigurazzjoni li kellek f'moħħok. Il-kmandi hawn taħt juru fuq xiex fil-fatt qablu endpoint ħaj u tunnel ħaj.
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasJekk l-endpoint ma jridx jinnegozja TLS 1.3, din hija sejba u mhux preferenza. Jekk it-tunnel jelenka suite li ma kontx tistenna, il-konfigurazzjoni li timporta hija dik li għażlu s-sħab, mhux dik fil-mudell.
L-identità tas-sħab hija mistoqsija separata
Kriptaġġ mingħajr sħab verifikat jipproteġi t-traffiku mill-osservaturi u jgħaddih lil min wieġeb il-konnessjoni. L-awtentikazzjoni tas-sħab tistaqsi liema identità hija mistennija, liema materjal ta' fiduċja jivvalidaha, u kif il-klijent iġib ruħu meta t-tweġiba ma taqbilx. Katina ta' ċertifikati, ċavetta mmewwda u sigriet maqsum minn qabel huma tliet tweġibiet differenti bi tliet spejjeż operattivi differenti.
Imbagħad staqsi l-istess mistoqsijiet dwar l-utent jew l-apparat. Gateway li jawtentika l-magna u jdaħħal kwalunkwe utent, jew bil-maqlub, għandu qagħda speċifika li għandha tinkiteb minflok ma tiġi preżunta. Il-permessi tar-riżorsi applikati wara l-ammissjoni huma parti mill-istess qasam, għax l-awtentikazzjoni mhijiex awtorizzazzjoni.
Il-preservazzjoni tal-kontrolli tal-isem tal-host u taċ-ċertifikat hija aktar importanti mill-familjarità tat-tieqa tal-login. Klijent ikkonfigurat biex jinjora l-verifika neħħa l-uniku pass li jiddistingwi l-gateway tiegħek minn imitazzjoni konvinċenti.
Il-konfini li jesponi l-prodott
Portal bla klijent jipprokura operazzjonijiet tal-applikazzjoni magħżula permezz tal-gateway, għalhekk l-utent jasal għal interface u mhux għal netwerk. Klijent b'tunnel sħiħ iġorr dak li jagħżlu r-rotot u l-politika tal-filtrazzjoni tiegħu, li hija superfiċie ferm akbar. Li tqabbel it-tnejn bil-qawwa tal-protokoll titlef id-differenza f'dak li attakkant jista' jasal għalih permezz tagħhom. Wieħed jesponi interface tal-applikazzjoni, l-ieħor netwerk bir-rotot, u t-tnejn jeħtieġu reviżjonijiet differenti.
Staqsi liema servizz huwa espost, liema operazzjonijiet huma awtorizzati u x'qed jisma' l-gateway innifsu. Interface tal-ġestjoni aċċessibbli mill-istess indirizz bħall-portal tal-utent hija sejba tad-deployment, u l-ebda għażla tal-protokoll ma tikkumpensaha.
L-ambitu għal kull applikazzjoni jnaqqas is-superfiċie aktar, u jinbidel ukoll l-imġiba fil-falliment meta t-tunnel jaqa'. Disinn li jassumi firxa ta' tunnel sħiħ jinqasam b'modi li disinn għal kull app ma jafx bihom, u t-tagħbija tal-appoġġ issegwi.
Iddeċiedi r-riżultat tal-falliment u ċ-ċiklu tal-ħajja
X'jiġri meta l-awtentikazzjoni jew il-protezzjoni mhumiex disponibbli hija deċiżjoni ta' politika li tappartjeni għar-reviżjoni. Riżultat imblukkat u rkupru dirett mhux imħabbar għandhom konsegwenzi differenti, u d-differenza hija inviżibbli f'lista ta' karatteristiċi. Iddikjara l-imġiba maħsuba ħdejn ir-riżors li tipproteġi.
Inkludi ċ-ċiklu tal-ħajja tal-patches u l-appoġġ tal-gateway, il-karatteristiċi esterni attivati tiegħu u t-triq tal-aġġornament għall-klijenti. Għażla korretta tal-protokoll ma tagħmilx sigur servizz imqiegħed ħażin, u ħafna mill-inċidenti jgħixu f'dak il-vojt u mhux fis-suite.
Ikteb il-ħames oqsma, il-politika tal-falliment u s-sid taċ-ċiklu tal-ħajja f'paġna waħda. Dik il-paġna hija reviżjoni; paragun ta' familji ta' protokoll hija opinjoni.