SSL VPN که TLS پوښ؟ هغه پوله پرتله کړئ چې ناکامه شوه

دوه ډیزاینونه کولی شي TLS په 443 پورټ کې وچلوي او د دې له مخې بشپړ توپیر لرونکي شیان معنا کړي۔ یو پوښ د یوې سیمه ییزې پورټ او یو لیرې backend تر منځ د یوې کنفیګر شوې اړیکې ساتنه کوي۔ د شبکې لاسرسي ډیزاین ټاکل شوی ټرافیک لېږدوي او هغه څه بدلوي چې کلاینټ ورته رسیدلی شي۔ لاندې څلور کتنې په ترتیب سره وکړئ او پوه به شئ چې کوم یې ګورئ، چې معمولاً د دې پوهیدو لپاره کافي دی چې کومه طبقه ناکامه شوه۔

له هغې اړیکې پیل وکړئ چې تاسو یې واقعاً کنفیګر کړې ده

د محصولاتو له پرتله کولو مخکې مخکینی او شاته برخه ولیکئ۔ پوښ په یوه ځایي پته اوري او لیرې پتې ته لېږي، یا په لیرې خوا کې پروګرام پیلوي، او هغه جوړه د هغې ټول تړون دی۔ د کلاینټ نور اپلیکیشنونه د دې په اړه هېڅ نه پوهیږي، تر څو چې تاسو هغوی دې ته ونه ګرځوئ۔ دا د وسایلو کمزوري نه ده، وسایل همدې لپاره دي۔

د شبکې ډیزاین تړون بل ډول دی، او په لارو او پالیسي کې څرګندیږي، نه په پورټ جوړه کې۔

وګورئ چې له هغو دوو توضیحاتو کوم یو ستاسو له انځور سره سمون لري۔ که ځواب په منځ کې د سند سره یو پورټ نقشه وي، نو پوښ لرئ حتی کله چې د محصول نوم VPN وايي۔ که ځواب د تونل انټرفېس او د لارو بدلونونه وي، نو شبکه یی ډیزاین لرئ حتی کله چې په 443 کې روان وي۔

وګورئ چې پوښ له کوم شي سره نښلول کیږي

د اوریدنې او نښلیدنې تنظیمات ولولئ او تر ریښتیني backend پورې یې تعقیب کړئ۔ هغه پوښ چې د ډیټابیس پورټ ته لېږي ویب اپلیکیشن نه پرانیزي، او هغه پوښ چې پروګرام چلوي هماغه پروګرام پیلوي نه د کوربه نور ټول څه خپروي۔ backend یوازینی شی دی چې پوښ یې پېژني۔

بیا پریکړه وکړئ چې ایا لېږدول شوی جریان د TLS له پای وروسته ساده متن دی۔ پوښل شوې اړیکه د دوو پوښونو تر منځ برخه ساتي، او هغه څه چې د لیرې پوښ وروسته پیښیږي جلا پوښتنه ده۔ له همدې امله د هغه شي پوښل چې خپله ساتنه لري کله منطقي وي او کله یوازې اضافي خوځنده برخې وي۔ د دوو ځوابونو له منځه یو فرض کولو پرځای بل ګام وګورئ۔

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

لومړی حکم هغه سند ښیي چې کلاینټ ته واقعاً وړاندې کیږي، او دویم ښیي چې په کوربه کې څه اوري۔ له بل هر څه لوستلو مخکې د هغه سند نوم له خپل تمه شوي نوم سره پرتله کړئ۔

وګورئ چې ډیزاین کوم ټرافیک لېږدوي

د شبکې لاسرسي ډیزاینونه ټاکل شوی ټرافیک لېږدوي او د کلاینټ د لارښوونې او لاسرسي پالیسي سره یوځای کیږي۔ د ننوتلو اجازه نه ده، نو تصدیق شوې اړیکه لا هم پریکړې ته اړتیا لري چې کومو سرچینو ته رسیدلی شي۔ بې کلاینټه پورټل دریم ماډل دی چې ملاتړ شوي عملیات پراکسي کوي خو هیڅکله د tun انټرفېس په توګه نه ښکاري۔

د محصول لیبل نه وایي چې له دې ماډلونو کوم یو مو اخیستی، او د پورټ شمېره لا ډېر لږ وایي۔

طبقې کول ممکن دي او باید پرتله کول مغشوش نه کړي۔ د تونل پروتوکول پخپله کولی شي په ملاتړ شوي TCP ترتیب کې په TLS وپوښل شي، چې د تونل شاوخوا طبقه زیاتوي خو پوښ تونل نه جوړوي۔ دا د خپل فعالیت او ناکامۍ چلند سره ډیزاین پریکړه ده، او په انځور کې د یوې کرښې وړ ده۔ هغه ثبت کړئ، بیا د باندې پوښ نه بلکې بنسټیز ماډلونه پرتله کړئ۔

ناکامه پوله وګورئ، نه لیبل

د یوې ناکامې هڅې حقایق ولیکئ: د مخکیني پتې، اوریدونکي، هغه هویت چې کلاینټ تصدیق کړ، د backend هدف او غوښتل شوې عملیه۔ بریالۍ لاس ورکول ثابتوي چې بهرنی TLS بشپړ شو او د backend په اړه هېڅ نه وایي۔ د backend رد د مخکیني هویت له ناکامۍ څخه جلا پیښه ده، او هیڅ یو یې د کلاینټ څخه -verify_return_error لرې کولو سره ښه نه کیږي۔ ورته له ورته سره پرتله کړئ، ځکه د بل کوربه نوم یا پورټ له لارې بریا نه ښیي چې شرایط یو شان وو۔

پورټ 443 یوه کنوانسیون ده چې TLS د منځنیو بکسونو له لارې تېریږي۔ دا خپل سري ټرافیک د پالیسي وسیلې لپاره د ویب غوښتنې په څېر نه جوړوي۔

په یوه جمله پای ومومئ چې د پایټو جوړه، څه لېږدول کیږي، کوم اپلیکیشنونه یې کاروي او منزل کوم اجازه پلي کوي نوموي۔ هغه ډیزاین چې دا څلور خالي ځایونه نه شي ډکولی بشپړ نه دی، هر څه چې د هغه لیبل ادعا وکړي۔ هماغه جمله د اور وژنې د مالک لپاره د ډیزاین تشریح کولو تر ټولو ګړندۍ لاره هم ده۔