HTTPS Basic Auth iyo IPsec: mid kastaa maxuu ilaaliyaa

Fur dev tools, soo rar app-ka gudaha oo daawo hal codsi oo dhex mara afar goobood ka hor inta boggu soo muuqan. Marka hore magaca waa la xalliyaa, ka dib xiriir TCP ayaa furmaa, ka dib TLS handshake ayaa caddeeya cidda server-ka, kadibna application-ku wuxuu ku weydiiyaa cidda aad tahay. U kala dhig dhacdooyin gaar ah, sababtoo ah mid kastaa wuxuu ku guuldareystaa caddayn kala duwan oo mid kastaa wuxuu leeyahay koox kala duwan. Jahwareerka badanaa dhaca wuxuu ka yimaadaa in 401 loo akhriyo dhibaato tunnel, ama dhibaato tunnel loo akhriyo password khaldan.

Goobta koowaad: ma kan baa server-ka aad rabtay inaad la hadasho

TLS handshake wuxuu ka jawaabaa su'aashaas ka hor inta aan la dirin wax aqoonsi ah. Client-kaagu wuxuu hubiyaa silsiladda shahaadada marka la barbardhigo kaydka kalsoonida wuxuuna hubiyaa in magaca shahaadada uu la mid yahay host-ka aad qortay. Haddii taas guuldareysto, browser-ku wuxuu muujiyaa qalad shahaado mana diro header-ka Authorization haba yaraatee. Sidaas darteed weydiinta password maaha caddayn in server-ku run yahay; waa caddayn in application-ku jawaabay.

Halkan ayaa soohdinta ugu horreysa soo baxdaa. TLS wuxuu ilaaliyaa xiriirka ilaa barta uu ku dhammaado. Haddii load balancer uu TLS ku dhammeeyo oo HTTP caadi ah u gudbiyo application-ka, qaybta sir ah waxay ku dhammaataa balancer-ka, aqoonsiga na waxaa la ilaaliyaa kaliya hop-ka koowaad.

Goobta labaad: maxaa dhab ahaan ku socda is-dhaafsiga 401

HTTP Basic wuxuu aqoonsiga isticmaalaha iyo password-ka ku diraa header, lagu codeeyay Base64 sida lagu sharraxay RFC 7617. Authorization: Basic dXNlcjpwYXNz waa qaabka; coding-ku waa la beddeli karaa qof kasta oo akhrin kara codsiga, sidaas darteed sirta oo dhan waxay ka timaadaa transport-ka hoose. curl -v wuxuu muujinayaa labadaba caqabadda WWW-Authenticate: Basic iyo header-ka aad dib u dirto.

Header-kaas wuxuu application-ka u sheegaa cidda weydiinaysa. Shabakadda uma sheego cidda xiriiri karta, isaguna ma sirto wax. Application-ku wali waa inuu aqoonsiga ku hubiyaa kayd oo uu go'aansado waxa account-kaas qaban karo, taas oo ah fasax oo dhaca ka dib aqoonsiga.

Halka tunnel-ka IPsec ku yaal waddadaas

Hadda browser-ka ka bax dibadda. Tunnel IPsec oo u dhexeeya gateway-yo wuxuu ilaaliyaa taraafikada la doortay oo u dhexeeya laba gateway amni, ma aha inta u dhexeeya laptop-kaaga iyo process-ka application. ESP qaabka tunnel wuxuu duubaa packet-kii asalka ahaa, gateway-yadu way sireeyaan oo aqoonsadaan, cinwaannada guduhuna way sii jiraan si dhinaca kale uu codsiga ugu jiheeyo application-ka.

Xulashadu waa qaybta dadka ku turunturoodaan. Tunnels ku salaysan siyaasad waxay isticmaalaan doorashooyin taraafik, oo badanaa lagu muujiyo liisaska xakamaynta gelitaanka, si ay u go'aansadaan packet-yada tunnel-ka gala. Tunnels ku salaysan waddo waxay isticmaalaan interface fiiro gaar ah iyo shaxda waddooyinka. Linux ip xfrm policy wuxuu muujinayaa doorashooyinka, ip xfrm state na wuxuu muujinayaa isku-xirka amniga ee la aasaasay; qalabka firewall-ka waxaa u dhigma shaxda SA ee tunnel-ka iyo raadraaca packet-yada.

Natiijada waa in si cad loo yidhaahdo. Packet wuxuu ku jiri karaa tunnel aad u fiican oo wali qaadi kara codsi HTTPS oo application-ku diido, aqoonsi sax ahna wuxuu iman karaa waddo aan tunnel lahayn haddii waddooyinku oggolaadaan.

Akhri guul-darrada tabakta sheegtay

401 waxay ka dhigan tahay in application-ku aanu aqbalin aqoonsiga. 403 waxay ka dhigan tahay inuu aqbalay aqoonsiga oo uu diiday hawsha. Qalad TLS waxay ka dhigan tahay in client-ku aanu aqbalin server-ka. Waddo la'aan ama ismaandhaaf siyaasad waxay ka dhigan tahay in packet-ku aanu waligiis gaarin gateway-ga fog. Afar guul-darro oo kala duwan, afar milkiile oo kala duwan, midna lagama baaro iyadoo fiiro gaar ah lagu hayo foomka gelitaanka.

Isticmaal caddaynta ay soo saarto tabak kasta: panel-ka shabakadda browser-ka ee xaaladda iyo headers-ka, openssl s_client -connect host:443 ee silsiladda shahaadada, tirsannada SA iyo diiwaannada gateway-ga ee taraafikada tunnel-ka, iyo diiwaanka application-ka ee go'aanka account-ka. Marka laba tabab ay isku mar sheegaan qaladaad, marka hore hagaaji tan hoose, sababtoo ah tunnel dhintay si fudud ayuu qarin karaa guul-darro aqoonsi iyo taa lidkeeda.

Khariidad hal adeeg oo dhamaystiran

Qor shan sadar oo ku saabsan adeegga aad baarayso: gateway-yada tunnel-ku isku xiro, subnet-yada iyo port-yada doorashooyinku oggolaadaan, halka TLS ku dhammaado iyo aqoonsiga shahaadadu sheegato, account-ka application iyo doorka la isticmaalo, iyo halka tabak kastaa diiwaan geliyo. Ku hay hal bog, sababtoo ah ujeedada khariidadda waa in la muujiyo halka mas'uuliyadda hal tabak ku dhammaato oo tan xigta ku bilaabato.

Kadib tijaabi hal xaalad xun tabak kasta. Isticmaal password khaldan oo xaqiiji inaad hesho 401, ma aha timeout. Ka xiriir subnet ka baxsan doorashooyinka oo xaqiiji in packet-ku aanu tunnel-ka marin. Soo bandhig shahaado magac khaldan oo xaqiiji in client-ku diido ka hor inta aanu dirin aqoonsiga. Saddexdaas natiijo ayaa wax kaaga sheegaya naqshadda in ka badan shax kasta oo sanduuqyo ah.

Ugu dambayn, si ula kac ah u go'aanso ilaalin noocee ah xiriir kastaa u baahan yahay. Basic authentication oo TLS dul saaran ayaa si macquul ah ugu habboon qalab gudaha yar oo gateway ka dambeeya; kama beddelo fasaxa isticmaale kasta ama ilaalinta taraafikada ka baxsan barta TLS. Tunnel-ku wuxuu ilaaliyaa waddada, shahaadadu waxay ilaalisaa hop-ka, 401 na waxay ilaalisaa account-ka, oo kaliya tan ugu dambaysa ayaa garanaysa cidda aad tahay.