SSL VPN apo mbështjellës TLS? Krahasoni kufirin që dështoi

Dy dizajne mund të ekzekutojnë TLS në portën 443 dhe të nënkuptojnë gjëra krejt të ndryshme. Një mbështjellës mbron një lidhje të konfiguruar midis një porte lokale dhe një backend të largët. Një dizajn aksesi në rrjet mbart trafik të zgjedhur dhe ndryshon atë që klienti mund të arrijë. Bëni katër kontrollet më poshtë me radhë dhe do të dini se cilin po shikoni, që zakonisht mjafton për të ditur cila shtresë dështoi.

Filloni me lidhjen që keni konfiguruar vërtet

Shkruani skajin e përparmë dhe atë të pasëm përpara se të krahasoni produkte. Një mbështjellës dëgjon në një adresë lokale dhe përcjell në një të largët, ose nis një program në anën e largët, dhe ky çift është i gjithë kontrata e tij. Aplikacionet e tjera të klientit nuk dinë asgjë për të, përveçse nëse i drejtoni drejt tij. Ky nuk është një mangësi e mjetit, mjeti është pikërisht për këtë.

Kontrata e një dizajni rrjeti është e ndryshme dhe shprehet në rrugë dhe politikë, jo në një çift portash.

Vini re cila nga dy përshkrimet përputhet me diagramin tuaj. Nëse përgjigja është një hartëzim porte me një certifikatë në mes, keni një mbështjellës edhe kur emri i produktit thotë VPN. Nëse përgjigja është një ndërfaqe tuneli dhe ndryshime rrugësh, keni një dizajn rrjeti edhe kur ekzekutohet në 443.

Kontrolloni me çfarë lidhet mbështjellësi

Lexoni cilësimet e dëgjimit dhe të lidhjes dhe ndiqni ato deri në backendin e vërtetë. Një mbështjellës që përcjell në një portë baze të dhënash nuk hap një aplikacion web, dhe një mbështjellës që ekzekuton një program nis pikërisht atë program në vend që të publikojë gjithçka tjetër që ekzekuton hosti. Backend është e vetmja gjë që mbështjellësi njeh.

Pastaj vendosni nëse rryma e përcjellë është tekst i thjeshtë kur TLS përfundon. Një lidhje e mbështjellë mbron segmentin midis dy mbështjellësve, dhe çfarë ndodh pas mbështjellësit të largët është një pyetje më vete. Kjo është arsyeja pse mbështjellja e diçkaje që tashmë mbart mbrojtjen e vet është ndonjëherë e arsyeshme dhe ndonjëherë thjesht pjesë lëvizëse shtesë. Inspektoni hapin tjetër në vend që të supozoni ndonjë nga përgjigjet.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Komanda e parë tregon certifikatën që i ofrohet vërtet një klienti, dhe e dyta tregon çfarë dëgjon në host. Krahasoni atë emër certifikate me atë që prisnit përpara se të lexoni çdo gjë tjetër.

Kontrolloni çfarë trafiku mbart dizajni

Dizajnet e aksesit në rrjet mbartin trafik të zgjedhur dhe integrohen me rrugëzimin dhe politikën e aksesit të klientit. Pranimi nuk është autorizim, kështu që një lidhje e vërtetuar ende ka nevojë për një vendim se cilat burime mund të arrijë. Një portal pa klient është një model i tretë që vepron si përfaqësues për operacionet e mbështetura pa u shfaqur kurrë si ndërfaqe tun.

Etiketa e produktit nuk ju thotë cilin nga këto modele keni blerë, dhe numri i portës thotë edhe më pak.

Shtresimi është i mundur dhe nuk duhet ta ngatërrojë krahasimin. Një protokoll tuneli mund të mbështillet vetë në TLS në një rregullim TCP të mbështetur, gjë që shton një shtresë rreth tunelit pa e kthyer mbështjellësin në tunel. Është një vendim projektimi me sjelljen e vet të performancës dhe të dështimit, dhe meriton një rresht në diagram. Regjistrojeni dhe pastaj krahasoni modelet bazë, jo mbështjellësin e jashtëm.

Kontrolloni kufirin që dështoi, jo etiketën

Shkruani faktet për një përpjekje të dështuar: adresa e skajit të përparmë, dëgjuesi, identiteti që klienti verifikoi, objektivi i backendit dhe operacioni i kërkuar. Një shtrëngim duarsh i suksesshëm provon që TLS i jashtëm përfundoi dhe nuk thotë asgjë për backendin. Një refuzim nga backend është një ngjarje ndryshe nga një dështim identiteti në skajin e përparmë, dhe asnjëra nuk përmirësohet duke hequr -verify_return_error nga klienti. Krahasoni të ngjashmen me të ngjashmen, sepse një sukses përmes një emri tjetër hosti ose porte nuk tregon se kushtet ishin të njëjta.

Porta 443 është një konventë që lejon TLS të kalojë përmes kutive të ndërmjetme. Ajo nuk e bën trafikun arbitrar të ngjajë me një kërkesë web për një pajisje politike.

Përfundoni me një fjali që emërton çiftin e pikave fundore, çfarë mbartet, cilat aplikacione e përdorin dhe çfarë leje zbaton destinacioni. Një dizajn që nuk mund të plotësojë ato katër boshlleqe nuk është i përfunduar, çfarëdo që pretendon etiketa e tij. Ajo fjali është gjithashtu mënyra më e shpejtë për t'i shpjeguar dizajnin atij që zotëron murin e zjarrit.