SSL VPN alebo TLS obal? Porovnajte hranicu, ktorá zlyhala

Dva návrhy môžu prevádzkovať TLS na porte 443 a znamenať tým úplne odlišné veci. Obal chráni jedno nakonfigurované spojenie medzi miestnym portom a vzdialeným backendom. Návrh sieťového prístupu prenáša vybranú premávku a mení, čo klient môže dosiahnuť. Prejdite štyri kontroly nižšie v poradí a budete vedieť, na ktorú sa pozeráte, čo zvyčajne stačí na to, aby ste vedeli, ktorá vrstva zlyhala.

Začnite spojením, ktoré ste skutočne nakonfigurovali

Pred porovnávaním produktov si zapíšte predný a zadný koniec. Obal počúva na miestnej adrese a preposiela na vzdialenú, alebo spúšťa program na vzdialenej strane, a táto dvojica je celá jeho zmluva. Ostatné aplikácie klienta o ňom nič nevedia, kým ich naň nenasmierujete. To nie je nedostatok nástroja, to je jeho účel.

Zmluva sieťového návrhu je iná a vyjadruje sa v trasách a politike, nie v dvojici portov.

Všimnite si, ktorý z tých dvoch opisov zodpovedá vášmu diagramu. Ak je odpoveďou jedno mapovanie portu s certifikátom v strede, máte obal, aj keď názov produktu hovorí VPN. Ak je odpoveďou tunelové rozhranie a zmeny trás, máte sieťový návrh, aj keď beží na 443.

Skontrolujte, na čo sa obal pripája

Prečítajte si nastavenia počúvania a pripájania a sledujte ich k skutočnému backendu. Obal, ktorý preposiela na port databázy, neotvára webovú aplikáciu, a obal, ktorý spúšťa program, spúšťa práve ten program namiesto zverejnenia všetkého ostatného, čo hostiteľ prevádzkuje. Backend je jediná vec, o ktorej obal vie.

Potom rozhodnite, či je preposielaný tok po skončení TLS čistý text. Obalené spojenie chráni segment medzi dvoma obalmi a to, čo sa deje po vzdialenom obale, je samostatná otázka. Preto je obaľovanie niečoho, čo už nesie vlastnú ochranu, niekedy rozumné a niekedy len pohyblivé časti navyše. Preskúmajte ďalší skok namiesto toho, aby ste predpokladali ktorúkoľvek z odpovedí.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Prvý príkaz zobrazuje certifikát, ktorý sa klientovi skutočne ponúka, a druhý zobrazuje, čo počúva na hostiteľovi. Porovnajte ten názov certifikátu s tým, ktorý ste očakávali, skôr než začnete čítať čokoľvek iné.

Skontrolujte, akú premávku návrh prenáša

Návrhy sieťového prístupu prenášajú vybranú premávku a integrujú sa s smerovaním a prístupovou politikou klienta. Prijatie nie je autorizácia, takže overené spojenie stále potrebuje rozhodnutie o tom, ku ktorým zdrojom smie dosiahnuť. Portál bez klienta je tretí model, ktorý proxuje podporované operácie bez toho, aby sa kedy objavil ako rozhranie tun.

Etiketa produktu nehovorí, ktorý z týchto modelov ste kúpili, a číslo portu hovorí ešte menej.

Vrstvenie je možné a nemalo by zmiasť porovnanie. Tunelový protokol môže byť sám obalený v TLS v podporovanom usporiadaní TCP, čo pridáva vrstvu okolo tunela bez toho, aby sa obal stal tunelom. Je to návrhové rozhodnutie s vlastným správaním výkonu a zlyhania a zaslúži si riadok v diagrame. Zaznamenajte ho a potom porovnávajte základné modely, nie vonkajší obal.

Skontrolujte zlyhávajúcu hranicu, nie etiketu

Zapíšte fakty o jednom neúspešnom pokuse: adresa predného konca, poslucháč, identita, ktorú klient overil, cieľ backendu a požadovaná operácia. Úspešný handshake dokazuje, že vonkajší TLS sa dokončil, a o backende nehovorí nič. Odmietnutie backendu je iná udalosť než zlyhanie identity na prednom konci a ani jedno sa nezlepší odstránením -verify_return_error z klienta. Porovnávajte podobné s podobným, pretože úspech cez iné meno hostiteľa alebo port neukazuje, že podmienky boli rovnaké.

Port 443 je konvencia, ktorá prepúšťa TLS cez medziľahlé zariadenia. Nerobí z ľubovoľnej premávky webovú požiadavku pre zariadenie politiky.

Skončite jednou vetou, ktorá pomenuje dvojicu koncových bodov, čo sa prenáša, ktoré aplikácie to používajú a aké oprávnenie cieľ vynucuje. Návrh, ktorý nedokáže vyplniť tieto štyri medzery, nie je hotový, nech jeho etiketa tvrdí čokoľvek. Táto veta je aj najrýchlejší spôsob, ako vysvetliť návrh tomu, kto vlastní firewall.