SSL VPN ਜਾਂ TLS ਲਪੇਟ? ਉਹ ਹੱਦ ਤੁਲਨਾ ਕਰੋ ਜੋ ਫੇਲ ਹੋਈ

ਦੋ ਡਿਜ਼ਾਈਨ 443 ਪੋਰਟ 'ਤੇ TLS ਚਲਾ ਸਕਦੇ ਹਨ ਅਤੇ ਇਸ ਨਾਲ ਬਿਲਕੁਲ ਵੱਖਰੀਆਂ ਗੱਲਾਂ ਦਾ ਅਰਥ ਰੱਖ ਸਕਦੇ ਹਨ। ਇੱਕ ਲਪੇਟ ਸਥਾਨਕ ਪੋਰਟ ਅਤੇ ਦੂਰਲੇ backend ਵਿਚਕਾਰ ਇੱਕ ਕਨਫਿਗਰ ਕੀਤੇ ਕਨੈਕਸ਼ਨ ਦੀ ਰੱਖਿਆ ਕਰਦੀ ਹੈ। ਨੈੱਟਵਰਕ-ਪਹੁੰਚ ਡਿਜ਼ਾਈਨ ਚੁਣਿਆ ਟ੍ਰੈਫਿਕ ਲਿਜਾਂਦਾ ਹੈ ਅਤੇ ਬਦਲਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਕਿੱਥੇ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ। ਹੇਠਾਂ ਦਿੱਤੀਆਂ ਚਾਰ ਜਾਂਚਾਂ ਕ੍ਰਮ ਨਾਲ ਕਰੋ ਅਤੇ ਤੁਸੀਂ ਜਾਣ ਜਾਓਗੇ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਵੇਖ ਰਹੇ ਹੋ, ਜੋ ਆਮ ਤੌਰ 'ਤੇ ਇਹ ਜਾਣਨ ਲਈ ਕਾਫੀ ਹੈ ਕਿ ਕਿਹੜੀ ਪਰਤ ਫੇਲ ਹੋਈ।

ਉਸ ਕਨੈਕਸ਼ਨ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ ਜੋ ਤੁਸੀਂ ਅਸਲ ਵਿੱਚ ਕਨਫਿਗਰ ਕੀਤਾ

ਉਤਪਾਦਾਂ ਦੀ ਤੁਲਨਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਅੱਗੇ ਅਤੇ ਪਿੱਛੇ ਦਾ ਸਿਰਾ ਲਿਖ ਲਓ। ਇੱਕ ਲਪੇਟ ਸਥਾਨਕ ਪਤੇ 'ਤੇ ਸੁਣਦੀ ਹੈ ਅਤੇ ਦੂਰਲੇ ਪਤੇ 'ਤੇ ਭੇਜਦੀ ਹੈ, ਜਾਂ ਦੂਰਲੇ ਪਾਸੇ ਪ੍ਰੋਗਰਾਮ ਸ਼ੁਰੂ ਕਰਦੀ ਹੈ, ਅਤੇ ਉਹ ਜੋੜੀ ਹੀ ਇਸਦਾ ਪੂਰਾ ਇਕਰਾਰ ਹੈ। ਕਲਾਇੰਟ ਦੀਆਂ ਬਾਕੀ ਐਪਲੀਕੇਸ਼ਨਾਂ ਇਸ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਜਾਣਦੀਆਂ, ਜਦ ਤੱਕ ਤੁਸੀਂ ਉਹਨਾਂ ਨੂੰ ਇਸ ਵੱਲ ਨਹੀਂ ਭੇਜਦੇ। ਇਹ ਸਾਧਨ ਦੀ ਘਾਟ ਨਹੀਂ, ਸਾਧਨ ਇਸੇ ਲਈ ਹੈ।

ਨੈੱਟਵਰਕ ਡਿਜ਼ਾਈਨ ਦਾ ਇਕਰਾਰ ਵੱਖਰਾ ਹੈ, ਅਤੇ ਇਹ ਪੋਰਟ-ਜੋੜੀ ਵਿੱਚ ਨਹੀਂ, ਮਾਰਗਾਂ ਅਤੇ ਨੀਤੀ ਵਿੱਚ ਪ੍ਰਗਟ ਹੁੰਦਾ ਹੈ।

ਧਿਆਨ ਦਿਓ ਕਿ ਉਹਨਾਂ ਦੋ ਵਰਣਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜਾ ਤੁਹਾਡੇ ਚਿੱਤਰ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ। ਜੇ ਜਵਾਬ ਵਿਚਕਾਰ ਸਰਟੀਫਿਕੇਟ ਵਾਲਾ ਇੱਕ ਪੋਰਟ ਮੈਪਿੰਗ ਹੈ, ਤਾਂ ਉਤਪਾਦ ਦਾ ਨਾਮ VPN ਕਹੇ ਤਾਂ ਵੀ ਤੁਹਾਡੇ ਕੋਲ ਲਪੇਟ ਹੈ। ਜੇ ਜਵਾਬ ਟਨਲ ਇੰਟਰਫੇਸ ਅਤੇ ਮਾਰਗ ਬਦਲਾਅ ਹਨ, ਤਾਂ 443 'ਤੇ ਚੱਲਦਾ ਹੋਇਆ ਵੀ ਤੁਹਾਡੇ ਕੋਲ ਨੈੱਟਵਰਕ ਡਿਜ਼ਾਈਨ ਹੈ।

ਜਾਂਚੋ ਕਿ ਲਪੇਟ ਕਿਸ ਨਾਲ ਜੁੜਦੀ ਹੈ

ਸੁਣਨ ਅਤੇ ਜੁੜਨ ਦੀਆਂ ਸੈਟਿੰਗਾਂ ਪੜ੍ਹੋ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਅਸਲ backend ਤੱਕ ਲੈ ਜਾਓ। ਡੇਟਾਬੇਸ ਪੋਰਟ 'ਤੇ ਭੇਜਣ ਵਾਲੀ ਲਪੇਟ ਕੋਈ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਨਹੀਂ ਖੋਲ੍ਹਦੀ, ਅਤੇ ਪ੍ਰੋਗਰਾਮ ਚਲਾਉਣ ਵਾਲੀ ਲਪੇਟ ਹੋਸਟ ਦਾ ਬਾਕੀ ਸਭ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਦੀ ਬਜਾਏ ਉਹੀ ਪ੍ਰੋਗਰਾਮ ਸ਼ੁਰੂ ਕਰਦੀ ਹੈ। backend ਹੀ ਇੱਕੋ ਇੱਕ ਚੀਜ਼ ਹੈ ਜੋ ਲਪੇਟ ਜਾਣਦੀ ਹੈ।

ਫਿਰ ਤੈਅ ਕਰੋ ਕਿ TLS ਖਤਮ ਹੋਣ ਤੋਂ ਬਾਅਦ ਭੇਜੀ ਧਾਰਾ ਸਾਦਾ ਪਾਠ ਹੈ ਜਾਂ ਨਹੀਂ। ਲਪੇਟਿਆ ਕਨੈਕਸ਼ਨ ਦੋ ਲਪੇਟਾਂ ਵਿਚਕਾਰਲੇ ਹਿੱਸੇ ਦੀ ਰੱਖਿਆ ਕਰਦਾ ਹੈ, ਅਤੇ ਦੂਰਲੀ ਲਪੇਟ ਤੋਂ ਬਾਅਦ ਕੀ ਹੁੰਦਾ ਹੈ ਉਹ ਵੱਖਰਾ ਸਵਾਲ ਹੈ। ਇਸੇ ਲਈ ਆਪਣੀ ਹੀ ਸੁਰੱਖਿਆ ਵਾਲੀ ਚੀਜ਼ ਨੂੰ ਲਪੇਟਣਾ ਕਦੇ ਸਮਝਦਾਰੀ ਹੈ ਅਤੇ ਕਦੇ ਸਿਰਫ ਵਾਧੂ ਚੱਲਦੇ ਹਿੱਸੇ। ਦੋਵਾਂ ਜਵਾਬਾਂ ਵਿੱਚੋਂ ਕੋਈ ਮੰਨਣ ਦੀ ਬਜਾਏ ਅਗਲਾ ਕਦਮ ਜਾਂਚੋ।

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

ਪਹਿਲਾ ਕਮਾਂਡ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਨੂੰ ਅਸਲ ਵਿੱਚ ਕਿਹੜਾ ਸਰਟੀਫਿਕੇਟ ਦਿੱਤਾ ਜਾ ਰਿਹਾ ਹੈ, ਅਤੇ ਦੂਜਾ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਹੋਸਟ 'ਤੇ ਕੀ ਸੁਣ ਰਿਹਾ ਹੈ। ਹੋਰ ਕੁਝ ਪੜ੍ਹਨ ਤੋਂ ਪਹਿਲਾਂ ਉਸ ਸਰਟੀਫਿਕੇਟ ਦੇ ਨਾਮ ਦੀ ਤੁਲਨਾ ਆਪਣੇ ਉਮੀਦ ਕੀਤੇ ਨਾਮ ਨਾਲ ਕਰੋ।

ਜਾਂਚੋ ਕਿ ਡਿਜ਼ਾਈਨ ਕਿਹੜਾ ਟ੍ਰੈਫਿਕ ਲਿਜਾਂਦਾ ਹੈ

ਨੈੱਟਵਰਕ-ਪਹੁੰਚ ਡਿਜ਼ਾਈਨ ਚੁਣਿਆ ਟ੍ਰੈਫਿਕ ਲਿਜਾਂਦੇ ਹਨ ਅਤੇ ਕਲਾਇੰਟ ਦੀ ਰੂਟਿੰਗ ਅਤੇ ਪਹੁੰਚ ਨੀਤੀ ਨਾਲ ਏਕੀਕ੍ਰਿਤ ਹੁੰਦੇ ਹਨ। ਦਾਖਲਾ ਅਧਿਕਾਰ ਨਹੀਂ ਹੈ, ਇਸ ਲਈ ਪ੍ਰਮਾਣਿਤ ਕਨੈਕਸ਼ਨ ਨੂੰ ਵੀ ਇਹ ਤੈਅ ਕਰਨਾ ਪੈਂਦਾ ਹੈ ਕਿ ਉਹ ਕਿਹੜੇ ਸਰੋਤਾਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ। ਕਲਾਇੰਟ ਰਹਿਤ ਪੋਰਟਲ ਤੀਜਾ ਮਾਡਲ ਹੈ ਜੋ ਸਮਰਥਿਤ ਕਾਰਵਾਈਆਂ ਨੂੰ ਪ੍ਰੌਕਸੀ ਕਰਦਾ ਹੈ ਪਰ ਕਦੇ tun ਇੰਟਰਫੇਸ ਵਜੋਂ ਨਹੀਂ ਦਿਸਦਾ।

ਉਤਪਾਦ ਦਾ ਲੇਬਲ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਤੁਸੀਂ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜਾ ਮਾਡਲ ਖਰੀਦਿਆ, ਅਤੇ ਪੋਰਟ ਨੰਬਰ ਹੋਰ ਵੀ ਘੱਟ ਦੱਸਦਾ ਹੈ।

ਪਰਤਾਂ ਬਣਾਉਣਾ ਸੰਭਵ ਹੈ ਅਤੇ ਇਸਨੂੰ ਤੁਲਨਾ ਨੂੰ ਉਲਝਾਉਣਾ ਨਹੀਂ ਚਾਹੀਦਾ। ਟਨਲ ਪ੍ਰੋਟੋਕੋਲ ਆਪਣੇ ਆਪ ਨੂੰ ਸਮਰਥਿਤ TCP ਬੰਦੋਬਸਤ ਵਿੱਚ TLS ਵਿੱਚ ਲਪੇਟ ਸਕਦਾ ਹੈ, ਜੋ ਟਨਲ ਦੁਆਲੇ ਪਰਤ ਜੋੜਦਾ ਹੈ ਪਰ ਲਪੇਟ ਨੂੰ ਟਨਲ ਨਹੀਂ ਬਣਾਉਂਦਾ। ਇਹ ਆਪਣੇ ਪ੍ਰਦਰਸ਼ਨ ਅਤੇ ਫੇਲ ਹੋਣ ਦੇ ਵਿਵਹਾਰ ਵਾਲਾ ਡਿਜ਼ਾਈਨ ਫੈਸਲਾ ਹੈ, ਅਤੇ ਚਿੱਤਰ ਵਿੱਚ ਇੱਕ ਲਾਈਨ ਦਾ ਹੱਕਦਾਰ ਹੈ। ਇਸਨੂੰ ਦਰਜ ਕਰੋ, ਫਿਰ ਬਾਹਰੀ ਲਪੇਟ ਨਹੀਂ, ਅਧਾਰ ਮਾਡਲਾਂ ਦੀ ਤੁਲਨਾ ਕਰੋ।

ਫੇਲ ਹੋਈ ਹੱਦ ਜਾਂਚੋ, ਲੇਬਲ ਨਹੀਂ

ਇੱਕ ਫੇਲ ਹੋਏ ਯਤਨ ਦੇ ਤੱਥ ਲਿਖੋ: ਅੱਗੇ ਦਾ ਪਤਾ, ਸਰੋਤਾ, ਕਲਾਇੰਟ ਵੱਲੋਂ ਪ੍ਰਮਾਣਿਤ ਪਛਾਣ, backend ਟਾਰਗਿਟ ਅਤੇ ਮੰਗੀ ਕਾਰਵਾਈ। ਸਫਲ ਹੈਂਡਸ਼ੇਕ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਬਾਹਰੀ TLS ਪੂਰਾ ਹੋਇਆ ਅਤੇ backend ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ। backend ਦਾ ਇਨਕਾਰ ਅੱਗੇ ਦੀ ਪਛਾਣ ਫੇਲ ਹੋਣ ਤੋਂ ਵੱਖਰੀ ਘਟਨਾ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਤੋਂ -verify_return_error ਹਟਾਉਣ ਨਾਲ ਦੋਵਾਂ ਵਿੱਚੋਂ ਕੋਈ ਸੁਧਰਦਾ ਨਹੀਂ। ਸਮਾਨ ਦੀ ਸਮਾਨ ਨਾਲ ਤੁਲਨਾ ਕਰੋ, ਕਿਉਂਕਿ ਕਿਸੇ ਹੋਰ ਹੋਸਟਨਾਮ ਜਾਂ ਪੋਰਟ ਰਾਹੀਂ ਸਫਲਤਾ ਇਹ ਨਹੀਂ ਦਿਖਾਉਂਦੀ ਕਿ ਹਾਲਾਤ ਇੱਕੋ ਜਿਹੇ ਸਨ।

443 ਪੋਰਟ ਇੱਕ ਰੀਤ ਹੈ ਜੋ TLS ਨੂੰ ਵਿਚਕਾਰਲੇ ਡੱਬਿਆਂ ਵਿੱਚੋਂ ਲੰਘਣ ਦਿੰਦੀ ਹੈ। ਇਹ ਮਨਮਾਨੀ ਟ੍ਰੈਫਿਕ ਨੂੰ ਨੀਤੀ ਯੰਤਰ ਲਈ ਵੈੱਬ ਬੇਨਤੀ ਵਰਗਾ ਨਹੀਂ ਬਣਾਉਂਦੀ।

ਇੱਕ ਵਾਕ ਨਾਲ ਖਤਮ ਕਰੋ ਜੋ ਅੰਤਿਮ ਜੋੜੀ, ਕੀ ਲਿਜਾਇਆ ਜਾਂਦਾ ਹੈ, ਕਿਹੜੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਇਸਨੂੰ ਵਰਤਦੀਆਂ ਹਨ ਅਤੇ ਮੰਜ਼ਿਲ ਕਿਹੜੀ ਇਜਾਜ਼ਤ ਲਾਗੂ ਕਰਦੀ ਹੈ ਦਾ ਨਾਮ ਲਵੇ। ਜੋ ਡਿਜ਼ਾਈਨ ਉਹ ਚਾਰ ਖਾਲੀ ਥਾਵਾਂ ਨਹੀਂ ਭਰ ਸਕਦਾ, ਉਹ ਪੂਰਾ ਨਹੀਂ, ਚਾਹੇ ਇਸਦਾ ਲੇਬਲ ਕੁਝ ਵੀ ਦਾਅਵਾ ਕਰੇ। ਉਹੀ ਵਾਕ ਫਾਇਰਵਾਲ ਦੇ ਮਾਲਕ ਨੂੰ ਡਿਜ਼ਾਈਨ ਸਮਝਾਉਣ ਦਾ ਸਭ ਤੋਂ ਤੇਜ਼ ਤਰੀਕਾ ਵੀ ਹੈ।