Um wrapper TLS dá-lhe uma rede privada? Normalmente não

O TLS protege um canal entre dois extremos e não diz nada sobre que serviços estão lá dentro. Um wrapper transforma esse canal num único reencaminhador configurado, para um só ouvinte, para um só destino. Um produto vendido como SSL VPN acrescenta normalmente uma interface, uma tabela de rotas e um modelo de acesso à volta do mesmo primitivo. Confundir os dois é como um túnel a funcionar é tomado por acesso à rede.

O que um wrapper de serviço liga de facto

Um wrapper escuta numa porta local e reencaminha o que chega para um destino configurado, quer seja um anfitrião e uma porta ou um programa local. Esse destino é escolhido por quem escreveu o ficheiro de configuração, um ouvinte de cada vez. Instalar o pacote não cria rotas, nem interface virtual, nem alcance para nada que não esteja explicitamente listado. Leia a configuração antes da descrição do pacote, porque a descrição abrange uma classe de uso e o ficheiro abrange a sua.

Portanto, a pergunta útil sobre um wrapper não é se cifra, mas o que está em cada extremo da cadeia que constrói.

application -> local listener -> TLS connection -> remote listener -> configured backend

Leia essa cadeia na configuração e não no nome comercial. Cada seta é um salto de rede separado com o seu próprio endereço e as suas próprias regras de acesso.

Encontre onde termina o canal TLS

Se o wrapper terminar o TLS, tudo o que reencaminha a seguir é uma nova ligação com novas propriedades. O fluxo pode ser texto simples num segmento privado, ou pode transportar outro protocolo protegido lá dentro. Assumir qualquer dos dois sem ler a configuração do backend é como as pessoas concluem que a camada exterior protege dados que nunca mais volta a ver. O salto reencaminhado merece a sua própria inspeção, no seu próprio endereço e porta.

Verifique o ouvinte e o backend em separado, porque um aperto de mão que tem sucesso à porta da frente não diz nada sobre o serviço por trás.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

O primeiro comando mostra que processo é dono da porta e em que endereço escuta. O segundo imprime o certificado que o cliente recebe realmente, e é a verificação de identidade que um número de porta não pode substituir.

O que uma VPN encaminhada acrescenta e um wrapper não

Uma VPN encaminhada instala uma interface, assume a posse de prefixos selecionados e integra-se com o encaminhamento e a política de acesso do anfitrião. Cada aplicação da máquina beneficia sem saber que o túnel existe. Um wrapper dá esse alcance a um só ouvinte configurado e para aí.

A admissão é outra coisa. Uma VPN que autentica um cliente continua a precisar de uma autorização que diga a que recursos pode chegar, e um wrapper que autentica um par continua a precisar de um backend que aplique as suas próprias permissões.

Existe uma combinação legítima: um protocolo VPN transportado dentro de um wrapper TLS sobre uma disposição TCP deliberadamente suportada. Isso empilha duas camadas e não torna o wrapper e a VPN o mesmo tipo de objeto.

Compare a fronteira que falha

Anote o endereço frontal, o ouvinte, a identidade do par, o alvo do backend e a operação da aplicação antes de mudar seja o que for. Depois compare o comparável: um sucesso através de outro nome de anfitrião ou porta não prova que as condições da firewall e do certificado fossem idênticas.

Um pedido rejeitado do backend nunca deve ser reparado desativando a verificação de identidade frontal. Isso troca uma falha de autorização diagnosticável por uma falha de confiança não diagnosticável.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Fixar o nome a um endereço escolhido separa a resolução de nomes do alcance, o que costuma ser a forma mais rápida de saber qual dos dois está avariado.

A comparação que importa nomeia o par de extremos protegidos, a carga transportada, as aplicações que a usam e a permissão aplicada no destino. O TLS contribui para essa descrição sem a completar.