SSL VPN или обёртка TLS? Сравните границу, которая не выдержала

Две схемы могут держать TLS на порту 443 и означать этим совершенно разное. Обёртка защищает одно настроенное соединение между локальным портом и удалённым backend. Схема сетевого доступа переносит выбранный трафик и меняет то, до чего может добраться клиент. Пройдите четыре проверки ниже по порядку, и вы узнаете, какую из них видите, а этого обычно хватает, чтобы понять, какой уровень отказал.

Начните с соединения, которое вы действительно настроили

Запишите передний и задний край, прежде чем сравнивать продукты. Обёртка слушает на локальном адресе и передаёт на удалённый либо запускает программу на удалённой стороне, и эта пара — весь её контракт. Остальные приложения клиента ничего о ней не знают, пока вы их на неё не направите. Это не недостаток инструмента, для этого инструмент и нужен.

Контракт сетевой схемы иной, и он выражается в маршрутах и политике, а не в паре портов.

Отметьте, какое из двух описаний соответствует вашей схеме. Если ответ — одно сопоставление порта с сертификатом посередине, у вас обёртка, даже когда название продукта говорит VPN. Если ответ — интерфейс туннеля и изменения маршрутов, у вас сетевая схема, даже когда она работает на 443.

Проверьте, к чему подключается обёртка

Прочитайте настройки прослушивания и подключения и проследите их до реального backend. Обёртка, передающая на порт базы данных, не открывает веб-приложение, а обёртка, запускающая программу, запускает именно её, а не публикует всё остальное, что выполняет хост. Backend — единственное, о чём обёртка знает.

Затем решите, является ли передаваемый поток открытым текстом после завершения TLS. Обёрнутое соединение защищает отрезок между двумя обёртками, а то, что происходит после дальней обёртки, — отдельный вопрос. Поэтому оборачивать что-то, что уже несёт собственную защиту, иногда разумно, а иногда это просто лишние движущиеся части. Проверьте следующий шаг, вместо того чтобы предполагать любой из двух ответов.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Первая команда показывает сертификат, который клиенту фактически предлагается, а вторая — что слушает на хосте. Сравните это имя сертификата с ожидаемым, прежде чем читать что-либо ещё.

Проверьте, какой трафик несёт схема

Схемы сетевого доступа переносят выбранный трафик и интегрируются с маршрутизацией и политикой доступа клиента. Допуск — не авторизация, поэтому аутентифицированному соединению всё ещё нужно решение о том, к каким ресурсам ему можно добраться. Портал без клиента — третья модель, которая проксирует поддерживаемые операции, никогда не появляясь как интерфейс tun.

Этикетка продукта не говорит, какую из этих моделей вы купили, а номер порта говорит ещё меньше.

Наслоение возможно и не должно путать сравнение. Протокол туннеля сам может быть обёрнут в TLS в поддерживаемом расположении TCP, что добавляет уровень вокруг туннеля, не превращая обёртку в туннель. Это проектное решение с собственным поведением производительности и отказов, и оно заслуживает строки на схеме. Запишите его, а затем сравнивайте базовые модели, а не внешнюю обёртку.

Проверьте отказавшую границу, а не этикетку

Запишите факты одной неудачной попытки: адрес переднего края, слушатель, удостоверение, которое проверил клиент, цель backend и запрошенная операция. Успешное рукопожатие доказывает, что внешний TLS завершился, и ничего не говорит о backend. Отказ backend — иное событие, чем сбой удостоверения на переднем крае, и ни одно не улучшается от удаления -verify_return_error у клиента. Сравнивайте подобное с подобным, потому что успех через другое имя хоста или порт не показывает, что условия были те же.

Порт 443 — это соглашение, пропускающее TLS через промежуточные устройства. Он не делает произвольный трафик похожим на веб-запрос для устройства политики.

Закончите одним предложением, которое называет пару конечных точек, что переносится, какие приложения это используют и какое разрешение требует назначение. Схема, которая не может заполнить эти четыре пробела, не закончена, что бы ни утверждала её этикетка. Это предложение — ещё и самый быстрый способ объяснить схему тому, кто владеет межсетевым экраном.