SSL VPN sau înveliș TLS? Comparați granița care a eșuat

Două proiecte pot rula TLS pe portul 443 și pot însemna lucruri complet diferite. Un înveliș protejează o conexiune configurată între un port local și un backend îndepărtat. Un proiect de acces la rețea transportă trafic selectat și schimbă ce poate atinge clientul. Faceți cele patru verificări de mai jos în ordine și veți ști pe care dintre ele vă uitați, ceea ce de obicei este suficient pentru a ști ce strat a eșuat.

Începeți cu conexiunea pe care ați configurat-o efectiv

Notați capătul frontal și capătul din spate înainte de a compara produse. Un înveliș ascultă pe o adresă locală și redirecționează către una îndepărtată, sau pornește un program pe partea îndepărtată, iar acea pereche este întregul său contract. Celelalte aplicații ale clientului nu știu nimic despre el dacă nu le îndreptați spre el. Aceasta nu este o lipsă a instrumentului, pentru asta este instrumentul.

Contractul unui proiect de rețea este diferit și se exprimă în rute și politică, nu într-o pereche de porturi.

Observați care dintre cele două descrieri se potrivește diagramei dumneavoastră. Dacă răspunsul este o mapare de port cu un certificat la mijloc, aveți un înveliș chiar când numele produsului spune VPN. Dacă răspunsul este o interfață de tunel și modificări de rută, aveți un proiect de rețea chiar când rulează pe 443.

Verificați la ce se conectează învelișul

Citiți setările de ascultare și de conectare și urmăriți-le până la backendul real. Un înveliș care redirecționează către un port de bază de date nu deschide o aplicație web, iar un înveliș care execută un program pornește acel program în loc să publice tot restul pe care îl rulează gazda. Backendul este singurul lucru pe care învelișul îl cunoaște.

Apoi decideți dacă fluxul redirecționat este text simplu după ce TLS se termină. O conexiune învelită protejează segmentul dintre cele două învelișuri, iar ce se întâmplă după învelișul îndepărtat este o întrebare separată. De aceea învelirea a ceva care are deja propria protecție este uneori sensibilă și uneori doar piese mobile în plus. Inspectați următorul salt în loc să presupuneți vreunul dintre răspunsuri.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Prima comandă arată certificatul care este oferit efectiv unui client, iar a doua arată ce ascultă pe gazdă. Comparați acel nume de certificat cu cel la care vă așteptați înainte de a citi orice altceva.

Verificați ce trafic transportă proiectul

Proiectele de acces la rețea transportă trafic selectat și se integrează cu rutarea și politica de acces ale clientului. Admiterea nu este autorizare, așa că o conexiune autentificată are încă nevoie de o decizie privind resursele pe care le poate atinge. Un portal fără client este un al treilea model care proxy-ează operațiunile acceptate fără a apărea vreodată ca interfață tun.

Eticheta produsului nu vă spune care dintre aceste modele l-ați cumpărat, iar numărul portului spune și mai puțin.

Stratificarea este posibilă și nu trebuie să încurce comparația. Un protocol de tunel poate fi el însuși învelit în TLS într-o aranjare TCP acceptată, ceea ce adaugă un strat în jurul tunelului fără a transforma învelișul în tunel. Este o decizie de proiectare cu propriul comportament de performanță și de eșec, și merită o linie în diagramă. Notați-o și apoi comparați modelele de bază, nu învelișul exterior.

Verificați granița care a eșuat, nu eticheta

Notați faptele unei încercări eșuate: adresa capătului frontal, ascultătorul, identitatea pe care clientul a verificat-o, ținta backendului și operațiunea cerută. O strângere de mână reușită dovedește că TLS-ul exterior s-a încheiat și nu spune nimic despre backend. O respingere din partea backendului este un eveniment diferit de o eroare de identitate la capătul frontal, și niciuna nu se îmbunătățește prin eliminarea -verify_return_error din client. Comparați lucruri comparabile, pentru că un succes printr-un alt nume de gazdă sau port nu arată că condițiile au fost aceleași.

Portul 443 este o convenție care lasă TLS să treacă prin dispozitivele intermediare. Nu face traficul arbitrar să semene cu o cerere web pentru un dispozitiv de politică.

Încheiați cu o propoziție care numește perechea de capete, ce este transportat, ce aplicații îl folosesc și ce permisiune impune destinația. Un proiect care nu poate umple acele patru goluri nu este terminat, orice ar afirma eticheta sa. Acea propoziție este și cel mai rapid mod de a explica proiectul celui care deține firewallul.