Un wrapper TLS vă oferă o rețea privată? De obicei nu

TLS protejează un canal între două capete și nu spune nimic despre ce servicii se află în interior. Un wrapper transformă acel canal într-un singur redirector configurat, pentru un singur ascultător, către o singură destinație. Un produs vândut ca SSL VPN adaugă de obicei o interfață, un tabel de rutare și un model de acces în jurul aceluiași primitiv. A le confunda pe cele două este felul în care un tunel funcțional este luat drept acces la rețea.

Ce leagă de fapt un wrapper de serviciu

Un wrapper ascultă pe un port local și redirecționează ce sosește către o destinație configurată, fie că este un host și un port, fie un program local. Acea destinație este aleasă de cel care a scris fișierul de configurare, un ascultător pe rând. Instalarea pachetului nu creează rute, interfață virtuală sau accesibilitate pentru nimic ce nu este listat explicit. Citiți configurația înaintea descrierii pachetului, pentru că descrierea acoperă o clasă de utilizare, iar fișierul o acoperă pe a dumneavoastră.

Prin urmare, întrebarea utilă despre un wrapper nu este dacă criptează, ci ce se află la fiecare capăt al lanțului pe care îl construiește.

application -> local listener -> TLS connection -> remote listener -> configured backend

Citiți acel lanț din configurație, nu din numele de marketing. Fiecare săgeată este un salt de rețea separat, cu propria adresă și propriile reguli de acces.

Găsiți unde se termină canalul TLS

Dacă wrapperul termină TLS, tot ce redirecționează mai departe este o conexiune nouă, cu proprietăți noi. Fluxul poate fi text simplu pe un segment privat sau poate transporta în interior un alt protocol protejat. A presupune oricare dintre ele fără a citi configurația backendului este felul în care oamenii ajung la concluzia că stratul exterior protejează date pe care nu le mai vede niciodată. Saltul redirecționat merită propria inspecție, la propria adresă și propriul port.

Verificați ascultătorul și backendul separat, pentru că o strângere de mână reușită la ușa din față nu spune nimic despre serviciul din spate.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Prima comandă arată ce proces deține portul și pe ce adresă ascultă. A doua afișează certificatul pe care clientul îl primește efectiv, iar aceasta este verificarea identității pe care un număr de port nu o poate înlocui.

Ce adaugă un VPN rutat și un wrapper nu

Un VPN rutat instalează o interfață, preia proprietatea prefixelor selectate și se integrează cu rutarea și politica de acces a hostului. Fiecare aplicație de pe mașină beneficiază fără să știe că tunelul există. Un wrapper oferă acea acoperire unui singur ascultător configurat și se oprește acolo.

Admiterea este din nou separată. Un VPN care autentifică un client are în continuare nevoie de o autorizare care spune la ce resurse poate ajunge, iar un wrapper care autentifică un partener are în continuare nevoie de un backend care își aplică propriile permisiuni.

Există o combinație legitimă: un protocol VPN transportat în interiorul unui wrapper TLS, pe un aranjament TCP susținut în mod deliberat. Aceasta stivuiește două straturi și nu face din wrapper și VPN același tip de obiect.

Comparați granița care eșuează

Notați adresa frontală, ascultătorul, identitatea partenerului, ținta backendului și operația aplicației înainte de a schimba ceva. Apoi comparați comparabilul: un succes printr-un alt nume de host sau alt port nu dovedește că condițiile firewallului și ale certificatului au fost identice.

O cerere respinsă către backend nu ar trebui niciodată reparată prin dezactivarea verificării identității frontale. Aceasta schimbă o eșec de autorizare diagnosticabil cu un eșec de încredere nediagnosticabil.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Fixarea numelui pe o adresă aleasă separă rezolvarea numelor de accesibilitate, ceea ce este de obicei cea mai rapidă cale de a afla care dintre cele două este defect.

Comparația care contează numește perechea de capete protejate, încărcătura transportată, aplicațiile care o folosesc și permisiunea aplicată la destinație. TLS contribuie la acea descriere fără a o completa.