TLS VPN proti IPsec: pet polj, ki jih je vredno pregledati

Razvrščanje VPN TLS proti VPN IPsec po družini protokolov odgovarja na vprašanje, ki ga nihče ni postavil, in običajno navaja konstrukcijo, ki sta jo obe družini opustili pred leti. Kar lahko pregledovalec dejansko oceni, je dogovorjena zaščita, identiteta partnerja, model odjemalca in izpostavljena storitev. Te štiri stvari so vidne v uvedbi in nobena ne izhaja iz oznake izdelka. Zahtevajte pet polj in pogovor postane konkreten.

Pet polj in oznaka ni eno od njih

Prvo polje je podprta različica programske opreme, ker je opis protokola brez različice brošura. Drugo je dogovorjena različica protokola, ki odloča, katere konstrukcije so sploh na voljo. Tretje je zaščitni nabor, četrto je metoda preverjanja pristnosti za partnerja in uporabnika, peto pa obseg dostopa, ki ga izdelek dodeli po sprejemu.

Oznaka VPN SSL pokriva vsaj tri različne izdelke: popolnega omrežnega odjemalca, proxy aplikacij in star portal, ki temelji na brskalniku. Izpostavljajo različne storitve in odpovedujejo različno, zato oznaka ne more nadomestiti polja obsega.

Kaj preverjeno šifriranje dejansko spremeni

TLS 1.3 zahteva preverjeno šifriranje, kar iz protokola odstrani starejšo konstrukcijo MAC-then-encrypt, namesto da bi jo pustilo neobvezno. IPsec ESP ima nabore preverjenega šifriranja prav tako dolgo, z AES-GCM, opredeljenim v lastnem RFC. V obeh družinah jamstvo izhaja iz dogovorjenega nabora in ne iz imena družine, zato se seznam polj začne z različico. Pregledovalec, ki nabora ne zna imenovati, nima česa oceniti.

Zato je zgodovinska primerjava zavajajoča. Uvedba, pripeta na staro različico TLS z naborom CBC, in druga, ki poganja TLS 1.3 z naborom AEAD, nista enako varnostno stanje, čeprav sta obe VPN TLS. Ista delitev obstaja na strani IPsec med sodobnim naborom ESP in starejšo kombinacijo.

Berite dogovorjene vrednosti, ne konfiguracije, ki ste jo nameravali. Spodnji ukazi kažejo, o čem sta se živa končna točka in živ tunel dejansko dogovorila.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Če se končna točka noče dogovoriti za TLS 1.3, je to ugotovitev in ne preference. Če tunel navaja nabor, ki ga niste pričakovali, je konfiguracija, ki šteje, tista, ki so jo izbrali partnerji, ne tista v predlogi.

Identiteta partnerja je ločeno vprašanje

Šifriranje brez preverjenega partnerja ščiti promet pred opazovalci in ga izroči tistemu, ki je odgovoril na povezavo. Preverjanje partnerja sprašuje, katera identiteta se pričakuje, katero gradivo zaupanja jo potrdi in kako se odjemalec obnaša, ko se odgovor ne ujema. Veriga potrdil, pripeti ključ in vnaprej deljena skrivnost so trije različni odgovori s tremi različnimi obratovalnimi stroški.

Nato postavite ista vprašanja o uporabniku ali napravi. Prehod, ki preveri stroj in sprejme katerega koli uporabnika, ali obratno, ima določeno držo, ki jo je treba zapisati, ne predpostaviti. Dovoljenja za vire, uporabljena po sprejemu, so del istega polja, ker preverjanje pristnosti ni pooblastilo.

Ohranjanje preverjanj imena gostitelja in potrdila je pomembnejše od domačnosti prijavnega okna. Odjemalec, nastavljen tako, da prezre preverjanje, je odstranil edini korak, ki loči vaš prehod od prepričljive imitacije.

Meja, ki jo izdelek izpostavi

Portal brez odjemalca posreduje izbrane aplikacijske operacije skozi prehod, zato uporabnik doseže vmesnik in ne omrežja. Odjemalec s polnim tunelom prenaša to, kar izberejo njegove poti in politika filtriranja, kar je veliko večja površina. Primerjava obeh po moči protokola zgreši razliko v tem, do česa lahko napadalec pride skozi njiju. Eno izpostavi aplikacijski vmesnik, drugo usmerjeno omrežje, in oba zahtevata različna pregleda.

Vprašajte, katera storitev je izpostavljena, katere operacije so pooblaščene in na čem prehod sam posluša. Upravljalni vmesnik, dosegljiv z istega naslova kot uporabniški portal, je ugotovitev uvedbe in nobena izbira protokola tega ne odtehta.

Obseg na aplikacijo površino še zoži in spremeni tudi vedenje ob napaki, ko tunel pade. Zasnova, ki predpostavlja doseg polnega tunela, se zlomi na načine, ki jih zasnova po aplikacijah ne pozna, in obremenitev podpore sledi.

Odločite se o izidu napake in življenjskem ciklu

Kaj se zgodi, ko preverjanje pristnosti ali zaščita ni na voljo, je odločitev politike, ki spada v pregled. Blokiran izid in neobjavljen neposreden povratek imata različne posledice in razlika je na seznamu funkcij nevidna. Navedite nameravano vedenje ob viru, ki ga varuje.

Vključite življenjski cikel popravkov in podpore prehoda, njegove omogočene zunanje funkcije in pot posodobitve odjemalcev. Pravilna izbira protokola ne naredi varno slabo uvedene storitve in večina incidentov živi v tej vrzeli, ne v naboru.

Zapišite pet polj, politiko napak in lastnika življenjskega cikla na eno stran. Ta stran je pregled; primerjava družin protokolov je mnenje.