TLS VPN iyo IPsec: shanta arrimood ee mudan in la eego
Isbarbardhig TLS VPN iyo IPsec VPN marka la eego sii-deynta, nooca borotokoolka, xirmada, aqoonsiga lammaanaha iyo baaxadda la muujiyay, iyo sidoo kale natiijada guuldarada aad si dhab ah u habaysay.
In TLS VPN-yada lagu kala saaro IPsec VPN-yada qoyska borotokoolka waxay ka jawaabtaa su'aal aan cidna weydiin, waxayna inta badan soo xigataa qaab ay labada qoys ka tageen sannado ka hor. Waxa uu mar wax ka eegaya si dhab ah u qiimeyn karaa waa ilaalinta la wadaagay, aqoonsiga lammaanaha, qaabka macmiilka iyo adeegga la muujiyay. Afartaas arrimood waxay ka muuqdaan baahinta, midkoodna kama yimaado sumadda badeecada. Weydii shan arrimood oo wada hadalku noqon doono mid cad.
Shan arrimood, sumadduna midkood ma aha
Arrinta koowaad waa sii-deynta software-ka la taageeray, maxaa yeelay sharraxa borotokoolka oo aan nooc lahayn waa warqad xayeysiis. Tan labaad waa nooca borotokoolka la wadaagay, kaas oo go'aamiya qaababka la heli karo. Tan saddexaad waa xirmada ilaalinta, tan afaraad waa habka aqoonsiga lammaanaha iyo isticmaalaha labadaba, tan shanaadna waa baaxadda gelitaanka ee badeecadu bixiso ka dib aqbalaadda.
Sumadda SSL VPN waxay daboolaa ugu yaraan saddex badeeco oo kala duwan: macmiil shabakadeed buuxa, wakiilka codsiyada iyo bogag hore oo ku salaysan browser-ka. Waxay muujiyaan adeegyo kala duwan oo si kala duwan ugu guuldarraystaan, sidaas darteed sumaddu ma beddeli karto arrinta baaxadda.
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
Waxa ay sirta la aqoonsaday si dhab ah u beddesho
TLS 1.3 wuxuu dalbanayaa sir la aqoonsaday, taas oo ka saaraysa qaabkii hore ee MAC-then-encrypt borotokoolka halkii ay ka dhigi lahayd mid ikhtiyaari ah. IPsec ESP waxay lahayd xirmooyin sir la aqoonsaday isla muddadaas, iyadoo AES-GCM lagu qeexay RFC u gaar ah. Labada qoysba dammaanaddu waxay ka timaaddaa xirmada la wadaagay ee kama timaaddo magaca qoyska, taasina waa sababta liiska arrimaha uu nooc ku bilaabmo. Mar wax ka eegaha aan xirmada magacaabi karin waxba ma hayo uu qiimeeyo.
Taas ayaa sababta isbarbardhigga taariikhiga ah uu marin habaabinayo. Baahin ku dheggan nooc TLS hore oo leh xirmo CBC iyo mid ku socda TLS 1.3 oo leh xirmo AEAD ma aha isku jirka amni, in kasta oo labaduba TLS VPN yihiin. Kala qaybsanaan la mid ah ayaa ka jirta dhinaca IPsec inta u dhaxaysa xirmo ESP casri ah iyo isku-dar hore.
Akhri qiyamka la wadaagay ee ha akhrin habaynta aad doonaysay. Amarrada hoose waxay muujinayaan waxa dhab ahaan ay ku heshiiyeen bartilmaameed shaqaynaya iyo tunnel shaqaynaya.
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasHaddii bartilmaameedku aanu doonayn inuu ka wada hadlo TLS 1.3, taasi waa natiijo ee ma aha doorbid. Haddii tunnelku uu taxo xirmo aadan filayn, habaynta muhiimka ah waa tii lammaanayaashu doorteen, ma aha tii jaantuska ku jirta.
Aqoonsiga lammaanaha waa su'aal gooni ah
Sir la'aan lammaane la xaqiijiyay waxay ka ilaalisaa socodka daawadayaasha waxayna u dhiibtaa qofkii ka jawaabay xidhiidhka. Aqoonsiga lammaanaha waxay weydiinaysaa aqoonsiga la filayo, shayga kalsoonida ee xaqiijiya, iyo sida macmiilku u dhaqmo marka jawaabtu aanay is waafajin. Silsilad shahaadooyin, fure la dhejiyay iyo sir horay loo wadaagay waa saddex jawaab oo kala duwan oo leh saddex kharash shaqo oo kala duwan.
Kadib weydii isla su'aalahaas ku saabsan isticmaalaha ama qalabka. Iridda aqoonsata mishiinka oo aqbasha isticmaale kasta, ama lidkeeda, waxay leedahay mawqif gaar ah oo ay tahay in la qoro ee aan la qiyaasin. Oggolaanshaha kheyraadka ee la dabaqo ka dib aqbalaadda waa qayb ka mid ah isla arrintaas, maxaa yeelay aqoonsigu ma aha oggolaansho.
Ilaalinta hubinta magaca martigeliyaha iyo shahaadada ayaa ka muhiimsan bartinimo daaqadda gelitaanka. Macmiil loo habeeyay inuu iska indhatiro xaqiijinta waxay ka saartay tallaabada kaliya ee kala soocda iriddaada mid ekeysiin qancin leh.
Xadka uu badeecadu muujiyo
Bogag aan macmiil lahayn waxay u wakiishaan hawlo codsi oo la doortay iyagoo maraya iridda, sidaas darteed isticmaalahu wuxuu gaaraa muuqaal ee ma gaaro shabakad. Macmiil tunnel buuxa wuxuu qaataa waxa ay doortaan waddooyinkiisa iyo siyaasadda shaandhaynta, taas oo ah dushiisa aad u weyn. Isbarbardhigga labada xagga xoogga borotokoolka waxay seegtaa farqiga ku jira waxa weeraryahan uu ku gaari karo iyaga. Mid wuxuu muujiyaa muuqaal codsi, kan kalena shabakad la waddo, labaduna waxay u baahan yihiin dib-u-eegis kala duwan.
Weydii adeegga kee la muujiyay, hawlo kee la oggolaaday iyo waxa iridda lafteedu dhegeysato. Muuqaal maamul oo laga gaari karo isla cinwaanka boggagga isticmaalaha waa natiijo baahin, oo ma jiro doorasho borotokool oo magdhowda.
Baaxadda codsi kasta waxay sii yareysaa dushiisa, waxayna beddeshaa dhaqanka guuldarada marka tunnelku dhaco. Nashqad u qaadata gaaritaanka tunnel buuxa waxay u jabmi doontaa siyaabo aan nashqadda codsi kastu aqoon, culayska taageerana wuu daba socdaa.
Go'aanso natiijada guuldarada iyo meertada nolosha
Waxa dhaca marka aqoonsiga ama ilaalintu aanay diyaar ahayn waa go'aan siyaasadeed oo ku deelqaaf dib-u-eegista. Natiijo la xannibay iyo dib u noqosho toos ah oo aan la sheegin waxay leeyihiin cawaaqib kala duwan, farqiguna kama muuqdo liiska sifooyinka. Sheeg dhaqanka loogu talagalay agta kheyraadka ay ilaalinayso.
Ku dar meertada nolosha balastarrada iyo taageerada iridda, sifooyinkeeda dibadda ee daaran iyo waddada cusboonaysiinta macmiillada. Doorasho borotokool oo sax ah kama dhigto mid ammaan ah adeeg si xun loo baahiyay, oo inta badan dhacdooyinku waxay ku nool yihiin ninkaas ma aha xirmada.
Ku qor shanta arrimood, siyaasadda guuldarada iyo milkiilaha meertada nolosha hal bog. Boggaas waa dib-u-eegis; isbarbardhigga qoysaska borotokoolka waa ra'yi.