SSL VPN ou invólucro TLS? Compare a fronteira que falhou

Dois projetos podem executar TLS na porta 443 e significar coisas completamente diferentes. Um invólucro protege uma conexão configurada entre uma porta local e um backend remoto. Um projeto de acesso à rede transporta tráfego selecionado e muda o que o cliente consegue alcançar. Faça as quatro verificações abaixo em ordem e saberá qual dos dois está a ver, o que normalmente basta para saber que camada falhou.

Comece pela conexão que realmente configurou

Anote a ponta frontal e a traseira antes de comparar produtos. Um invólucro escuta num endereço local e encaminha para um remoto, ou inicia um programa do lado remoto, e esse par é todo o seu contrato. As outras aplicações do cliente nada sabem dele, a menos que as direcione para lá. Isso não é uma falha da ferramenta, é para isso que a ferramenta serve.

O contrato de um projeto de rede é diferente e exprime-se em rotas e políticas, não num par de portas.

Note qual das duas descrições corresponde ao seu diagrama. Se a resposta for um mapeamento de porta com um certificado no meio, tem um invólucro mesmo quando o nome do produto diz VPN. Se a resposta for uma interface de túnel e alterações de rota, tem um projeto de rede mesmo quando corre no 443.

Verifique a que se liga o invólucro

Leia as definições de escuta e de ligação e siga-as até ao backend real. Um invólucro que encaminha para uma porta de base de dados não abre uma aplicação web, e um invólucro que executa um programa inicia esse programa em vez de publicar tudo o resto que o anfitrião executa. O backend é a única coisa que o invólucro conhece.

Depois decida se o fluxo encaminhado é texto simples quando o TLS termina. Uma ligação envolvida protege o segmento entre os dois invólucros, e o que acontece depois do invólucro remoto é uma questão separada. É por isso que envolver algo que já traz a sua própria proteção é por vezes sensato e por vezes apenas peças móveis a mais. Inspecione o salto seguinte em vez de assumir qualquer das respostas.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

O primeiro comando mostra o certificado que é realmente oferecido a um cliente, e o segundo mostra o que está à escuta no anfitrião. Compare esse nome de certificado com o que esperava antes de ler qualquer outra coisa.

Verifique que tráfego transporta o projeto

Os projetos de acesso à rede transportam tráfego selecionado e integram-se com o encaminhamento e a política de acesso do cliente. A admissão não é autorização, por isso uma ligação autenticada ainda precisa de uma decisão sobre que recursos pode alcançar. Um portal sem cliente é um terceiro modelo que faz de proxy das operações suportadas sem nunca aparecer como uma interface tun.

O rótulo do produto não lhe diz qual destes modelos comprou, e o número da porta diz ainda menos.

O empilhamento é possível e não deve confundir a comparação. Um protocolo de túnel pode ele próprio ser envolvido em TLS numa disposição TCP suportada, o que acrescenta uma camada em torno do túnel sem transformar o invólucro no túnel. É uma decisão de projeto com o seu próprio comportamento de desempenho e de falha, e merece uma linha no diagrama. Registe-a e depois compare os modelos subjacentes, não o invólucro exterior.

Verifique a fronteira que falhou, não o rótulo

Anote os factos de uma tentativa falhada: endereço frontal, ouvinte, a identidade que o cliente verificou, o alvo do backend e a operação pedida. Um aperto de mão bem-sucedido prova que o TLS exterior terminou e nada diz sobre o backend. Uma rejeição do backend é um acontecimento diferente de uma falha de identidade na ponta frontal, e nenhuma delas melhora ao remover -verify_return_error do cliente. Compare o comparável, porque um sucesso através de outro nome de anfitrião ou porta não mostra que as condições eram as mesmas.

A porta 443 é uma convenção que deixa passar TLS pelos dispositivos intermédios. Não faz com que tráfego arbitrário se pareça com um pedido web para um dispositivo de política.

Termine com uma frase que nomeie o par de extremos, o que é transportado, que aplicações o usam e que permissão a destino impõe. Um projeto que não consegue preencher esses quatro espaços não está terminado, diga o que disser o seu rótulo. Essa frase é também a forma mais rápida de explicar o projeto a quem quer que seja o dono da firewall.