Jagħtik wrapper TLS netwerk privat? Normalment le

TLS jipproteġi kanal bejn żewġ truf u ma jgħid xejn dwar liema servizzi jinsabu ġo fih. Wrapper ibiddel dak il-kanal f’wieħed forwarder ikkonfigurat, għal wieħed semmiegħa, lejn destinazzjoni waħda. Prodott li jinbiegħ bħala SSL VPN normalment iżid interface, tabella tar-rotot u mudell ta’ aċċess madwar l-istess primittiva. Li tħawwad it-tnejn huwa kif tunnel li jaħdem jiġi maħsub bħala aċċess għan-netwerk.

X’jgħaqqad tassew wrapper ta’ servizz

Wrapper jisma’ fuq port lokali u jgħaddi dak li jasal lejn destinazzjoni kkonfigurata, jew host u port jew programm lokali. Dik id-destinazzjoni tagħżelha min kiteb il-fajl tal-konfigurazzjoni, semmiegħ wieħed kull darba. L-installazzjoni tal-pakkett ma toħloqx rotot, interface virtwali jew aċċessibilità għal xejn li mhuwiex elenkat b’mod espliċitu. Aqra l-konfigurazzjoni qabel id-deskrizzjoni tal-pakkett, għax id-deskrizzjoni tkopri klassi ta’ użu u l-fajl jkopri tiegħek.

Għalhekk il-mistoqsija utli dwar wrapper mhijiex jekk jikkriptax, imma x’jinsab f’kull tarf tal-katina li jibni.

application -> local listener -> TLS connection -> remote listener -> configured backend

Aqra dik il-katina mill-konfigurazzjoni u mhux mill-isem tal-marketing. Kull vleġġa hija qabża tan-netwerk separata bl-indirizz tagħha u bir-regoli tal-aċċess tagħha.

Sib fejn jispiċċa l-kanal TLS

Jekk il-wrapper itemm it-TLS, kull ma jgħaddi ’l quddiem hija konnessjoni ġdida bi proprjetajiet ġodda. Il-fluss jista’ jkun test ċar fuq segment privat, jew jista’ jġorr protokoll protett ieħor ġo fih. Li tassumi wieħed minnhom mingħajr ma taqra l-konfigurazzjoni tal-backend huwa kif in-nies jikkonkludu li s-saff ta’ barra jipproteġi data li ma jerġax jara. Il-qabża mgħoddija ħaqqha spezzjoni tagħha stess, fuq l-indirizz u l-port tagħha stess.

Iċċekkja s-semmiegħa u l-backend separatament, għax handshake li jirnexxi fil-bieb ta’ quddiem ma jgħid xejn dwar is-servizz warajh.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

L-ewwel kmand juri liema proċess jippossjedi l-port u fuq liema indirizz jisma’. It-tieni jipprintja ċ-ċertifikat li l-klijent fil-fatt jirċievi, u din hija l-verifika tal-identità li numru tal-port ma jistax jissostitwixxi.

X’iżid VPN bir-rotta u x’ma jagħmilx wrapper

VPN bir-rotta jinstalla interface, jieħu pussess tal-prefissi magħżula u jintegra mar-routing u l-politika tal-aċċess tal-host. Kull applikazzjoni fuq il-magna tibbenefika mingħajr ma tkun taf li t-tunnel jeżisti. Wrapper jagħti dik il-firxa lil semmiegħ ikkonfigurat wieħed u jieqaf hemm.

Id-dħul huwa għal darb’oħra separat. VPN li tawtentika klijent xorta waħda għandha bżonn awtorizzazzjoni li tgħid liema riżorsi l-klijent jista’ jasal għalihom, u wrapper li jawtentika pari xorta waħda għandu bżonn backend li jinfurza l-permessi tiegħu stess.

Hemm kombinazzjoni leġittima: protokoll VPN li jinġarr ġewwa wrapper TLS fuq arranġament TCP appoġġjat apposta. Dan jistiva żewġ saffi, u ma jagħmilx il-wrapper u l-VPN l-istess tip ta’ oġġett.

Qabbel il-konfini li qed ifalli

Ikteb l-indirizz tal-frontend, is-semmiegħa, l-identità tal-pari, il-mira tal-backend u l-operazzjoni tal-applikazzjoni qabel ma tbiddel xejn. Imbagħad qabbel il-paragunabbli: suċċess permezz ta’ hostname jew port differenti ma jipprovax li l-kundizzjonijiet tal-firewall u taċ-ċertifikat kienu identiċi.

Talba għall-backend miċħuda qatt m’għandha tiġi msewwija billi titfi l-verifika tal-identità tal-frontend. Dan ibiddel falliment ta’ awtorizzazzjoni li jista’ jiġi djanjostikat ma’ falliment ta’ fiduċja li ma jistax jiġi djanjostikat.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Li tpinna l-isem fuq indirizz magħżul jifred is-soluzzjoni tal-ismijiet mill-aċċessibilità, u normalment dan huwa l-aktar mod mgħaġġel biex issir taf liema miż-żewġ huwiex miksur.

Il-paragun li jgħodd isemmi l-par ta’ truf protetti, il-payload li jinġarr, l-applikazzjonijiet li jużawh u l-permess infurzat fid-destinazzjoni. TLS jikkontribwixxi għal dik id-deskrizzjoni mingħajr ma jtemmha.