SSL VPN ali ovoj TLS? Primerjajte mejo, ki je odpovedala

Dve zasnovi lahko poganjata TLS na vratih 443 in s tem pomenita povsem različne stvari. Ovoj ščiti eno nastavljeno povezavo med lokalnimi vrati in oddaljenim backendom. Zasnova omrežnega dostopa prenaša izbrani promet in spreminja, kaj lahko odjemalec doseže. Izvedite štiri preverjanja spodaj po vrsti in vedeli boste, katero od obeh gledate, kar običajno zadostuje, da veste, kateri sloj je odpovedal.

Začnite s povezavo, ki ste jo resnično nastavili

Zapišite sprednji in zadnji del, preden primerjate izdelke. Ovoj posluša na lokalnem naslovu in posreduje na oddaljenega ali zažene program na oddaljeni strani, in ta par je cela njegova pogodba. Druge aplikacije odjemalca ne vedo ničesar o njem, razen če jih usmerite nanj. To ni pomanjkljivost orodja, to je njegov namen.

Pogodba omrežne zasnove je drugačna in se izraža v poteh in politiki, ne v paru vrat.

Opazite, kateri od teh dveh opisov ustreza vašemu diagramu. Če je odgovor eno preslikavanje vrat s potrdilom v sredini, imate ovoj, tudi ko ime izdelka pravi VPN. Če je odgovor vmesnik tunela in spremembe poti, imate omrežno zasnovo, tudi ko teče na 443.

Preverite, na kaj se ovoj povezuje

Preberite nastavitve poslušanja in povezovanja ter jim sledite do pravega backenda. Ovoj, ki posreduje na vrata zbirke podatkov, ne odpre spletne aplikacije, in ovoj, ki izvaja program, zažene prav ta program, namesto da bi objavil vse ostalo, kar gostitelj poganja. Backend je edino, kar ovoj pozna.

Nato odločite, ali je posredovani tok po koncu TLS čisto besedilo. Ovitka povezava ščiti odsek med obema ovojema, in kar se zgodi za oddaljenim ovojem, je ločeno vprašanje. Zato je ovijanje nečesa, kar že nosi lastno zaščito, včasih smiselno, včasih pa le odvečni gibljivi deli. Preverite naslednji skok, namesto da bi predpostavili kateri koli odgovor.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Prvi ukaz pokaže potrdilo, ki se odjemalcu dejansko ponudi, drugi pa, kaj posluša na gostitelju. Primerjajte to ime potrdila s pričakovanim, preden preberete karkoli drugega.

Preverite, kateri promet prenaša zasnova

Zasnove omrežnega dostopa prenašajo izbrani promet in se povezujejo z usmerjanjem in politiko dostopa odjemalca. Sprejem ni avtorizacija, zato overjena povezava še vedno potrebuje odločitev, do katerih virov sme doseči. Portal brez odjemalca je tretji model, ki posreduje podprte operacije, ne da bi se kdaj pojavil kot vmesnik tun.

Nalepka izdelka ne pove, kateri od teh modelov ste kupili, številka vrat pa pove še manj.

Slojevanje je mogoče in ne sme zbegati primerjave. Protokol tunela je lahko sam ovit v TLS v podprti razporeditvi TCP, kar doda plast okoli tunela, ne da bi ovoj postal tunel. To je oblikovalska odločitev z lastnim vedenjem delovanja in odpovedi, in si zasluži vrstico v diagramu. Zapišite jo in nato primerjajte osnovne modele, ne zunanjega ovoja.

Preverite mejo, ki je odpovedala, ne nalepke

Zapišite dejstva enega neuspešnega poskusa: naslov sprednjega dela, poslušalec, identiteto, ki jo je odjemalec preveril, cilj backenda in zahtevano operacijo. Uspešen rokovanje dokazuje, da se je zunanji TLS zaključil, in ne pove ničesar o backendu. Zavrnitev backenda je drug dogodek kot odpoved identitete na sprednjem delu, in nobeno se ne izboljša z odstranitvijo -verify_return_error pri odjemalcu. Primerjajte podobno s podobnim, ker uspeh prek drugega imena gostitelja ali vrat ne pokaže, da so bili pogoji enaki.

Vrata 443 so dogovor, ki spusti TLS skozi vmesne naprave. Ne naredi poljubnega prometa podobnega spletni zahtevi za napravo politike.

Končajte z enim stavkom, ki poimenuje par končnih točk, kaj se prenaša, katere aplikacije to uporabljajo in katero dovoljenje uveljavlja cilj. Zasnova, ki ne more zapolniti teh štirih praznin, ni dokončana, kar koli trdi njena nalepka. Ta stavek je tudi najhitrejši način, da zasnovo razložite tistemu, ki ima požarni zid.