د HTTPS Basic تصدیق او IPsec: هر یو څه ساتي

د پراختیاکوونکو وسیلې پرانیزئ، داخلي اپلیکیشن پورته کړئ او وګورئ چې یوه غوښتنه د پاڼې د ښودلو مخکې څلور کنټرول ټکي تېروي۔ لومړی نوم حل کېږي، بیا د TCP اړیکه پرانیستل کېږي، بیا د TLS لاس نیول تاییدوي چې سرور څوک دی، او یوازې له هغې وروسته اپلیکیشن پوښتنه کوي چې تاسو څوک یاست۔ دا د جلا پېښو په توګه وګڼئ، ځکه هر یو یې په جلا شواهدو ناکامېږي او هر یو یې جلا ټیم لري۔ په پېښو کې ډېره ګډوډي له دې څخه راځي چې 401 د تونل ستونزه وګڼل شي، یا د تونل ستونزه د ناسم پټنوم په توګه وګڼل شي۔

لومړی کنټرول ټکی: ایا دا هغه سرور دی چې تاسو یې سره خبرې کولې

د TLS لاس نیول د دې پوښتنې ځواب ورکوي مخکې له دې چې کوم اعتبار وړ معلومات ولېږل شي۔ ستاسو کلاینټ د باور زېرمې په وړاندې د سند لړۍ تاییدوي او ګوري چې په سند کې نوم هغه هوسټ سره سمون لري چې تاسو ولیکل۔ که دا ناکام شي، براوزر د سند تېروتنه ښیي او Authorization سرلیک هیڅکله نه لېږي۔ نو د پټنوم غوښتنه دا ثبوت نه دی چې سرور اصلي دی؛ دا ثبوت دی چې اپلیکیشن ځواب ورکړ۔

دلته لومړی پوله ښکاري۔ TLS اړیکه تر هغې پای ټکي پورې ساتي چې هلته ختمېږي۔ که یو بار وېشونکی TLS ختم کړي او اپلیکیشن ته ساده HTTP ولېږي، نو کوډ شوې برخه د بار وېشونکي په سر ختمېږي، او اعتبار وړ معلومات یوازې په لومړي پړاو کې ساتل کېږي۔

دویم کنټرول ټکی: په 401 تبادله کې واقعاً څه تېرېږي

د HTTP Basic تصدیق د کاروونکي پېژندنه او پټنوم په یوه سرلیک کې لېږي چې لکه څنګه چې په RFC 7617 کې بیان شوي د Base64 سره کوډ شوی۔ Authorization: Basic dXNlcjpwYXNz د دې بڼه ده؛ کوډ کول هر هغه څوک بیرته اړولی شي چې غوښتنه لوستلای شي، نو ټول پټتوب له لاندې ټرانسپورټ څخه راځي۔ curl -v هم WWW-Authenticate: Basic ننګونه او هم هغه سرلیک ښیي چې تاسو بیرته لېږئ۔

هغه سرلیک اپلیکیشن ته وایي چې څوک پوښتنه کوي۔ دا شبکه ته نه وایي چې څوک اړیکه نیولی شي، او پخپله هیڅ شی کوډ نه کوي۔ اپلیکیشن لا هم باید اعتبار وړ معلومات د یوې زېرمې سره وګوري او پرېکړه وکړي چې هغه حساب څه کولی شي، چې دا اجازه ورکول دي او له تصدیق وروسته کېږي۔

په دې لار کې IPsec تونل چېرته ناست دی

اوس له براوزر څخه بهر ولاړ شئ۔ د ګېټوې-ګېټوې IPsec تونل د دوو امنیتي ګېټوې ترمنځ ټاکل شوی ترافیک ساتي، نه ستاسو لپټاپ او د اپلیکیشن پروسې ترمنځ۔ د تونل حالت ESP اصلي کڅوړه پوښي، ګېټوې هغه کوډ او تصدیقوي، او داخلي پته ژوندې پاتې کېږي تر څو بل لوري غوښتنه اپلیکیشن ته لارښوونه کړای شي۔

ټاکل هغه برخه ده چې خلک ګډوډوي۔ د تګلارې پر بنسټ تونلونه د ترافیک ټاکونکي کاروي، چې ډېری وخت د لاسرسي کنټرول لیستونو په بڼه لیکل کېږي، تر څو پرېکړه وشي چې کومې کڅوړې تونل ته ننوځي۔ د لارې پر بنسټ تونلونه پرځای یې مجازي انټرفېس او د لارښوونې جدول کاروي۔ په Linux کې ip xfrm policy ټاکونکي ښیي او ip xfrm state جوړ شوي امنیتي اړیکې ښیي؛ په فایرول وسیله کې ورته شی د تونل SA جدول او یو کڅوړه تعقیبوونکی دی۔

پایله باید روښانه وویل شي۔ یوه کڅوړه کولای شي په بشپړ روغ تونل کې ناسته وي او بیا هم داسې HTTPS غوښتنه ولېږدوي چې اپلیکیشن یې ردوي، او سم اعتبار وړ معلومات کولای شي له هغې لارې راشي چې هیڅ تونل نلري که لارښوونه اجازه ورکړي۔

تېروتنه په هغه پوړ کې ولولئ چې هغه یې راپور کړې

401 یعنې اپلیکیشن اعتبار وړ معلومات نه دي منلي۔ 403 یعنې هغه پېژندنه منلې او عملیه یې رد کړې۔ د TLS تېروتنه یعنې کلاینټ سرور نه دی منلی۔ د لارې نه شتون یا د تګلارې ناسمونې یعنې کڅوړه هېڅکله بل ګېټوې ته نه ده رسېدلې۔ څلور جلا ناکامۍ، څلور جلا مسؤلین، او هیڅ یو یې د ننوتلو فورمې ته په کتو نه پېژندل کېږي۔

هغه شواهد وکاروئ چې هر پوړ تولیدوي: د حالت او سرلیکونو لپاره د براوزر شبکه پینل، د سند لړۍ لپاره openssl s_client -connect host:443، د تونل ترافیک لپاره د ګېټوې SA شمېرونکي او لاګونه، او د حساب پرېکړې لپاره د اپلیکیشن لاګ۔ کله چې دوه پوړونه یوځای تېروتنه راپور کړي، لومړی ټیټ پوړ سم کړئ، ځکه مړ تونل کولای شي د تصدیق ناکامي په اسانۍ پټه کړي او برعکس۔

یوه خدمت له سره تر پای پورې نقشه کړئ

د هغه خدمت لپاره چې تاسو یې ستونزه لټوئ پنځه کرښې ولیکئ: تونل کوم همکاران نښلوي، ټاکونکي کوم سبنيټونه او پورټونه اجازه ورکوي، TLS چېرته ختمېږي او سند کومه پېژندنه ادعا کوي، کوم اپلیکیشن حساب او رول کارول کېږي، او هر پوړ چېرته لاګ کوي۔ دا په یوه پاڼه کې وساتئ، ځکه د نقشې هدف دا ښودل دي چې د یو پوړ مسؤلیت چېرته ختمېږي او بل چېرته پیلېږي۔

بیا د هر پوړ لپاره یوه منفي پېښه وازموئ۔ ناسم پټنوم وکاروئ او تایید کړئ چې 401 ترلاسه کوئ، نه د وخت پای۔ له ټاکونکو بهر د یوه سبنيټ څخه اړیکه ونیسئ او تایید کړئ چې کڅوړه تونل ته نه ځي۔ د ناسم نوم لپاره سند وړاندې کړئ او تایید کړئ چې کلاینټ مخکې له اعتبار وړ معلوماتو لېږلو انکار کوي۔ هغه درې پایلې تاسو ته د ډیزاین په اړه له هر بکس انځور ډېر څه وایي۔

په پای کې، په پام سره پرېکړه وکړئ چې هر اړیکه کومه ساتنه غواړي۔ د TLS په سر Basic تصدیق د یوې کوچنۍ داخلي وسیلې لپاره چې د ګېټوې شاته ده مناسبه ده؛ دا د هر کاروونکي لپاره اجازه ورکولو یا له TLS پای ټکي بهر د ترافیک ساتنې بدیل نه دی۔ تونل لاره ساتي، سند پړاو ساتي، او 401 حساب ساتي، او یوازې وروستی یې پېژني چې تاسو څوک یاست۔