Vam TLS ovoj zagotovi zasebno omrežje? Običajno ne

TLS ščiti kanal med dvema koncema in ne pove ničesar o tem, katere storitve so znotraj. Ovoj ta kanal spremeni v enega konfiguriranega posredovalnika, za enega poslušalca, do enega cilja. Izdelek, ki se prodaja kot SSL VPN, običajno doda vmesnik, usmerjevalno tabelo in model dostopa okoli istega primitiva. Zamenjati oboje je način, kako se delujoč tunel vzame za omrežni dostop.

Kaj storitveni ovoj dejansko poveže

Ovoj posluša na lokalnih vratih in posreduje tisto, kar pride, na konfigurirani cilj, bodisi gostitelja in vrata bodisi lokalni program. Ta cilj izbere tisti, ki je napisal konfiguracijsko datoteko, po en poslušalec naenkrat. Namestitev paketa ne ustvari nobenih poti, navideznega vmesnika ali dosegljivosti za kar koli, kar ni izrecno navedeno. Konfiguracijo preberite pred opisom paketa, ker opis pokriva razred uporabe, datoteka pa vašo.

Zato koristno vprašanje o ovoju ni, ali šifrira, ampak kaj stoji na vsakem koncu verige, ki jo gradi.

application -> local listener -> TLS connection -> remote listener -> configured backend

To verigo berite iz konfiguracije in ne iz tržnega imena. Vsaka puščica je ločen omrežni skok z lastnim naslovom in lastnimi pravili dostopa.

Poiščite, kje se kanal TLS konča

Če ovoj zaključi TLS, je vse, kar posreduje naprej, nova povezava z novimi lastnostmi. Tok je lahko golo besedilo na zasebnem segmentu ali pa v sebi nosi drug zaščiten protokol. Domnevati katero koli od tega brez branja konfiguracije zalednega dela je način, kako ljudje sklenejo, da zunanji sloj ščiti podatke, ki jih nikoli več ne vidi. Posredovani skok si zasluži lasten pregled, na svojem naslovu in vratih.

Poslušalec in zaledni del preverite ločeno, ker uspešno rokovanje pri vhodnih vratih ne pove ničesar o storitvi za njimi.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Prvi ukaz pokaže, kateri proces ima vrata in na katerem naslovu posluša. Drugi izpiše potrdilo, ki ga odjemalec dejansko prejme, in to je preverjanje identitete, ki ga številka vrat ne more nadomestiti.

Kaj doda usmerjeni VPN in ovoj ne

Usmerjeni VPN namesti vmesnik, prevzame lastništvo izbranih predpon in se poveže z usmerjanjem in politiko dostopa gostitelja. Vsaka aplikacija na stroju ima korist, ne da bi vedela, da tunel obstaja. Ovoj da ta doseg enemu konfiguriranemu poslušalcu in se tam ustavi.

Sprejem je spet ločen. VPN, ki overja odjemalca, še vedno potrebuje avtorizacijo, ki pove, do katerih virov lahko odjemalec doseže, ovoj, ki overja partnerja, pa še vedno potrebuje zaledni del, ki uveljavlja lastna dovoljenja.

Obstaja zakonita kombinacija: protokol VPN, prenesen znotraj ovoja TLS na namerno podprti razporeditvi TCP. To zloži dva sloja in iz ovoja in VPN ne naredi iste vrste predmeta.

Primerjajte mejo, ki odpove

Zapišite naslov sprednjega dela, poslušalca, identiteto partnerja, cilj zalednega dela in operacijo aplikacije, preden karkoli spremenite. Nato primerjajte primerljivo: uspeh skozi drugo ime gostitelja ali druga vrata ne dokazuje, da so bili pogoji požarnega zidu in potrdila enaki.

Zavrnjene zahteve do zalednega dela nikoli ne bi smeli popraviti z izklopom preverjanja identitete sprednjega dela. To zamenja diagnozabilno napako avtorizacije za nediagnozabilno napako zaupanja.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Pripeti ime na izbrani naslov loči razreševanje imen od dosegljivosti, kar je običajno najhitrejši način, da ugotovite, katero od obeh je pokvarjeno.

Primerjava, ki šteje, poimenuje zaščiteni par končnih točk, preneseni tovor, aplikacije, ki ga uporabljajo, in dovoljenje, ki se uveljavlja na cilju. TLS prispeva k temu opisu, ne da bi ga dokončal.