SSL VPN eller TLS-innpakking? Samanlikn grensa som svikta

To design kan køyre TLS på port 443 og meina heilt ulike ting med det. Ei innpakking vernar éi konfigurert samband mellom ein lokal port og ein ekstern backend. Eit nettverkstilgangsdesign ber utvald trafikk og endrar kva klienten kan nå. Gå gjennom dei fire kontrollane nedanfor i rekkjefølgje, og du veit kva av dei du ser på, noko som vanlegvis er nok til å vite kva lag som svikta.

Start med sambandet du faktisk konfigurerte

Skriv ned frontenden og backenden før du samanliknar produkt. Ei innpakking lyttar på ein lokal adresse og videresender til ein ekstern, eller startar eit program på den eksterne sida, og det paret er heile kontrakten. Dei andre programma til klienten veit ingenting om henne med mindre du peikar dei dit. Det er ikkje ei mangl med verktøyet, det er det verktøyet er til.

Kontrakten til eit nettverksdesign er annleis, og han vert uttrykt i ruter og policy, ikkje i eit portpar.

Legg merke til kva av dei to skildringane som passar diagrammet ditt. Viss svaret er éin portmapping med eit sertifikat i midten, har du ei innpakking sjølv når produktnamnet seier VPN. Viss svaret er eit tunellgrensesnitt og ruteendringar, har du eit nettverksdesign sjølv når det køyrer på 443.

Kontroller kva innpakkinga koplar til

Les lytt- og tilkoplingsinnstillingane og følg dei til den verkelege backenden. Ei innpakking som videresender til ein databaseport opnar ikkje ein webapplikasjon, og ei innpakking som køyrer eit program startar det programmet i staden for å publisere alt anna verten køyrer. Backenden er det einaste innpakkinga veit om.

Avgjer deretter om den videresende straumen er klartekst når TLS sluttar. Eit innpakka samband vernar segmentet mellom dei to innpakkingane, og det som skjer etter den eksterne innpakkinga er eit eige spørsmål. Difor er det stundom fornuftig å pakke inn noko som alt har si eiga vern, og stundom berre ekstra bevegelege delar. Undersøk neste hopp i staden for å anta eitt av dei to svara.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Den første kommandoen viser sertifikatet ein klient faktisk vert tilboden, og den andre viser kva som lyttar på verten. Samanlikn det sertifikatnamnet med det du venta før du les noko anna.

Kontroller kva trafikk designet ber

Nettverkstilgangsdesign ber utvald trafikk og integrerast med ruting og tilgangspolicy til klienten. Tilgang er ikkje autorisasjon, så eit autentisert samband treng framleis ei avgjerd om kva ressursar det kan nå. Ein klientlaus portal er ein tredje modell som proxier støtta operasjonar utan nokon gong å opptre som eit tun-grensesnitt.

Etiketten til produktet fortel deg ikkje kva av modellane du kjøpte, og portnummeret fortel endå mindre.

Lagdeling er mogleg og bør ikkje forvirre samanlikninga. Ein tunnelprotokoll kan sjølv pakkast inn i TLS i eit støtta TCP-oppsett, noko som legg eit lag rundt tunnelen utan å gjere innpakkinga til tunnelen. Det er eit designval med eiga yting og feilåtferd, og det fortener ei linje i diagrammet. Noter det, og samanlikn deretter dei underliggande modellane i staden for den ytre innpakkinga.

Kontroller den sviktande grensa, ikkje etiketten

Skriv ned fakta for eitt mislukka forsøk: frontendadresse, lyttar, identiteten klienten verifiserte, backend-målet og operasjonen som vart beden om. Eit vellukka handtrykk provar at den ytre TLS-en vart fullført og seier ingenting om backenden. Ei avvising frå backenden er ei anna hending enn ein identitetsfeil i frontenden, og ingen av dei vert betre av å fjerne -verify_return_error frå klienten. Samanlikn likt med likt, fordi ein suksess gjennom eit anna vertsnavn eller ein annan port ikkje viser at vilkåra var dei same.

Port 443 er ein konvensjon som slepp TLS gjennom mellomledd. Han får ikkje vilkårleg trafikk til å likne ein webførespurnad for eit policy-utstyr.

Avslutt med éi setning som namngir endepunktparet, kva som vert bore, kva applikasjonar som brukar det og kva løyve destinasjonen handhevar. Eit design som ikkje kan fylla dei fire holaa, er ikkje ferdig, same kva etiketten hevdar. Den setninga er òg den raskaste måten å forklare designet til den som eig brannmuren.