TLS VPN د IPsec په وړاندې: هغه پنځه برخې چې بیاکتنې ته ارزښت لري
TLS VPN او IPsec VPN د خپرېدنې، د پروتوکول نسخې، سیټ، د سیال هویت او افشا شوې ساحې له مخې پرتله کړئ، او همدارنګه د هغې ناکامۍ پایلې له مخې چې تاسو یې واقعاً تنظیم کړې۔
د TLS VPNs د IPsec VPNs سره د پروتوکول کورنۍ له مخې درجهبندي د هغه پوښتنې ځواب ورکوي چې چا نه وه پوښتې، او معمولاً د هغې جوړښت یادونه کوي چې دواړو کورنیو کلونه وړاندې پرېښی و۔ هغه څه چې یو بیاکتونکی واقعاً ارزولی شي هغه هوکړه شوې ساتنه، د سیال هویت، د کارګر ماډل او افشا شوې خدمت دی۔ دا څلور شیان په ځای پرځای کولو کې ښکاري او هیڅ یو یې د محصول له لیبل څخه نه راځي۔ پنځه برخې وغواړئ او خبرې اترې مشخصې شي۔
پنځه برخې، او لیبل یې یوه نه ده
لومړۍ برخه د ملاتړ شوې سافټویر خپرېدنه ده، ځکه چې د نسخې پرته د پروتوکول تشریح یو کتابچې دی۔ دویمه هغه هوکړه شوې پروتوکول نسخه ده چې پرېکړه کوي کوم جوړښتونه حتی شته۔ درېیمه د ساتنې سیټ دی، څلورمه د سیال او کاروونکي لپاره د تصدیق طریقه، او پنځمه هغه لاسرسي ساحه ده چې محصول د منلو وروسته ورکوي۔
د SSL VPN لیبل لږ تر لږه درې بېلابېل محصولات پوښي: بشپړ شبکهیي کارګر، د اپلیکیشن پروکسي او زوړ د براوزر پر بنسټ پورټل۔ دوی بېلابېل خدمتونه افشا کوي او بېلابېلې ناکامېږي، نو لیبل نشي کولی د ساحې برخه بدله کړي۔
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
تصدیق شوې کوډګري واقعاً څه بدلوي
TLS 1.3 تصدیق شوې کوډګري غواړي، چې زوړ MAC-then-encrypt جوړښت له پروتوکول څخه لرې کوي نه دا چې اختیاري یې پرېږدي۔ IPsec ESP هم هماغومره وخت راهیسې د تصدیق شوې کوډګري سیټونه لري، او AES-GCM په خپل RFC کې تعریف شوی۔ په دواړو کورنیو کې تضمین له هوکړه شوي سیټ څخه راځي نه د کورنۍ له نامه، نو ځکه د برخو لیست له نسخې پیلېږي۔ هغه بیاکتونکی چې د سیټ نوم نشي اخیستلی هغه لپاره د ارزولو څه نه لري۔
نو ځکه تاریخي پرتله ګمراه کوونکې ده۔ هغه ځای پرځای کول چې په زاړه TLS نسخه د CBC سیټ سره تړل شوي او بل چې TLS 1.3 د AEAD سیټ سره چلوي یو شان امنیتي دریځ نه دی، که څه هم دواړه TLS VPN دي۔ هماغه وېش د IPsec په خوا کې د عصري ESP سیټ او زوړ ترکیب ترمنځ هم شته۔
هوکړه شوې ارزښتونه ولولئ نه هغه ترتیبات چې تاسو یې په نظر کې درلودل۔ لاندې حکمونه ښيي چې یو فعال پای ټکی او یو فعال تونل واقعاً پر کوم څه هوکړه وکړه۔
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasکه پای ټکی د TLS 1.3 په اړه خبرې نه غواړي، دا یوه موندنه ده نه غوره توب۔ که تونل هغه سیټ ولیکي چې تاسو یې تمه نه درلوده، مهم ترتیب هغه دی چې سیالانو غوره کړ، نه هغه چې په کالب کې دی۔
د سیال هویت جلا پوښتنه ده
له تصدیق شوي سیال پرته کوډګري ترافیک له کتونکو څخه ساتي او هغه چا ته ورکوي چې اړیکې ته ځواب ویلی۔ د سیال تصدیق پوښتي چې کوم هویت تمه کېږي، کوم باور مواد یې تصدیقوي، او کله چې ځواب سم نه وي کارګر څنګه چلند کوي۔ د سندونو زنځیر، نښلول شوې کیلي او مخکې شریک شوی راز درې بېلابېل ځوابونه دي چې درې بېلابېل عملیاتي لګښتونه لري۔
بیا د کاروونکي یا وسیلې په اړه هماغه پوښتنې وکړئ۔ هغه ګیټ وې چې ماشین تصدیقوي او هر کاروونکی مني، یا برعکس، ځانګړی دریځ لري چې باید ولیکل شي نه فرض شي۔ له منلو وروسته پلي شوې د سرچینو اجازې هماغې برخې پورې اړه لري، ځکه تصدیق اجازه نه ده۔
د کوربه نوم او سند د کتنو ساتل د ننوتلو کړکۍ له بلدتیا مهم دي۔ هغه کارګر چې د تصدیق له پامه غورځولو لپاره تنظیم شوی یوازینی ګام لرې کړی چې ستاسو ګیټ وې له قانع کوونکې نقل څخه بېلوي۔
هغه حد چې محصول یې افشا کوي
بې کارګر پورټل ټاکل شوې اپلیکیشن عملیات د ګیټ وې له لارې پروکسي کوي، نو کاروونکی انټرفیس ته رسي نه شبکې ته۔ بشپړ تونل کارګر هغه څه وړي چې د هغې لارې او فلټر کولو پالیسي ټاکي، چې ډېره لویه سطحه ده۔ د دواړو پرتله د پروتوکول د پیاوړتیا له مخې هغه توپیر له پامه غورځوي چې یرغلګر د دوی له لارې څه ته رسېدلی شي۔ یو اپلیکیشن انټرفیس افشا کوي، بل لارښوونه شوې شبکه، او دواړه بېلابېلې بیاکتنې غواړي۔
وپوښتئ کوم خدمت افشا دی، کوم عملیات اجازه لري او ګیټ وې پخپله پر څه غوږ نیسي۔ هغه مدیریتي انټرفیس چې د کاروونکي پورټل له هماغې پتې څخه رسېدلی شي یوه د ځای پرځای کولو موندنه ده، او هیڅ پروتوکول ټاکنه یې نه جبرانوي۔
د هر اپلیکیشن ساحه سطحه نوره هم تنګوي، او د تونل د لوېدو پر مهال د ناکامۍ چلند هم بدلوي۔ هغه ډیزاین چې د بشپړ تونل رسېدنه فرض کوي په هغو لارو ماتېږي چې د هر اپ لپاره ډیزاین نه پېژني، او د ملاتړ بار ورسره راځي۔
د ناکامۍ پایله او د ژوند دوره پرېکړه کړئ
کله چې تصدیق یا ساتنه نه وي شته، څه پېښېږي هغه د پالیسۍ پرېکړه ده چې بیاکتنې ته اړه لري۔ بند شوې پایله او نااعلان شوې مستقیمه بېرته تګ بېلابېلې پایلې لري، او توپیر د ځانګړتیاوو په لیست کې نه ښکاري۔ د نظر یو چلند د هغې سرچینې ترڅنګ ولیکئ چې ساتنه یې کوي۔
د ګیټ وې د پیچ او ملاتړ ژوند دوره، فعالې بهرنۍ ځانګړتیاوې او د کارګرانو لپاره د تازه کولو لار شامل کړئ۔ سم پروتوکول ټاکنه بد ځای پرځای شوې خدمت خوندي نه کوي، او ډېری پېښې هماغه تشه کې ژوند کوي نه په سیټ کې۔
پنځه برخې، د ناکامۍ پالیسي او د ژوند دورې مالک په یوه پاڼه ولیکئ۔ هغه پاڼه یوه بیاکتنه ده؛ د پروتوکول کورنیو پرتله یوه نظر دی۔