Dáva vám obal TLS súkromnú sieť? Zvyčajne nie

TLS chráni kanál medzi dvoma koncami a nehovorí nič o tom, ktoré služby v ňom sedia. Obal premení ten kanál na jediný nakonfigurovaný preposielač, pre jedného poslucháča, na jeden cieľ. Produkt predávaný ako SSL VPN zvyčajne okolo toho istého primitíva pridáva rozhranie, smerovaciu tabuľku a model prístupu. Zameniť oboje je spôsob, akým sa funkčný tunel považuje za sieťový prístup.

Čo obal služby skutočne prepája

Obal počúva na lokálnom porte a to, čo príde, preposiela na nakonfigurovaný cieľ — či už hostiteľa a port alebo lokálny program. Ten cieľ vyberá ten, kto napísal konfiguračný súbor, vždy jeden poslucháč. Inštalácia balíka nevytvára žiadne trasy, virtuálne rozhranie ani dostupnosť pre čokoľvek, čo nie je výslovne uvedené. Čítajte konfiguráciu pred opisom balíka, pretože opis pokrýva triedu použitia a súbor to vaše.

Užitočná otázka o obale teda nie je, či šifruje, ale čo stojí na každom konci reťazca, ktorý stavia.

application -> local listener -> TLS connection -> remote listener -> configured backend

Čítajte ten reťazec z konfigurácie, nie z marketingového názvu. Každá šípka je samostatný sieťový skok s vlastnou adresou a vlastnými pravidlami prístupu.

Nájdite, kde sa kanál TLS končí

Ak obal ukončuje TLS, všetko, čo ďalej preposiela, je nové spojenie s novými vlastnosťami. Tok môže byť otvorený text v súkromnom segmente, alebo môže v sebe niesť iný chránený protokol. Predpokladať ktorúkoľvek z týchto možností bez čítania konfigurácie backendu je spôsob, akým ľudia dospejú k záveru, že vonkajšia vrstva chráni údaje, ktoré už nikdy neuvidí. Preposlaný skok si zaslúži vlastnú kontrolu, na svojej adrese a porte.

Kontrolujte poslucháča a backend oddelene, pretože úspešné podanie ruky pri vchodových dverách nič nehovorí o službe za nimi.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Prvý príkaz ukazuje, ktorý proces vlastní port a na akej adrese počúva. Druhý vypíše certifikát, ktorý klient skutočne dostane, a to je kontrola identity, ktorú číslo portu nahradiť nemôže.

Čo pridáva smerovaná VPN a obal nie

Smerovaná VPN nainštaluje rozhranie, preberá vlastníctvo vybraných prefixov a integruje sa so smerovaním a prístupovou politikou hostiteľa. Každá aplikácia na stroji má z toho prospech bez toho, aby vedela, že tunel existuje. Obal dáva tento dosah jednému nakonfigurovanému poslucháčovi a tam sa zastaví.

Priepustnosť je opäť oddelená. VPN, ktorá autentifikuje klienta, stále potrebuje autorizáciu, ktorá hovorí, ku ktorým zdrojom klient smie dosiahnuť, a obal, ktorý autentifikuje partnera, stále potrebuje backend, ktorý presadzuje svoje vlastné povolenia.

Existuje legitímna kombinácia: protokol VPN prenášaný vnútri obalu TLS na zámerne podporovanom usporiadaní TCP. To ukladá dve vrstvy a nerobí z obalu a VPN rovnaký druh objektu.

Porovnajte hranicu, ktorá zlyháva

Zapíšte si adresu predného konca, poslucháča, identitu partnera, cieľ backendu a operáciu aplikácie, skôr než čokoľvek zmeníte. Potom porovnávajte porovnateľné: úspech cez iné meno hostiteľa alebo port nepreukazuje, že podmienky firewallu a certifikátu boli rovnaké.

Odmietnutú požiadavku na backend by sa nikdy nemalo opravovať vypnutím overovania identity na prednom konci. To vymieňa diagnostikovateľné zlyhanie autorizácie za nediagnostikovateľné zlyhanie dôvery.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Pripnutie mena k vybranému adresu oddeľuje preklad mien od dostupnosti, čo je zvyčajne najrýchlejší spôsob, ako zistiť, ktoré z tých dvoch je pokazené.

Porovnanie, na ktorom záleží, pomenúva chránenú dvojicu koncových bodov, prenášaný obsah, aplikácie, ktoré ho používajú, a povolenie presadzované v cieli. TLS prispieva k tomuto opisu, no nedokončuje ho.