A ju jep një mbështjellës TLS një rrjet privat? Zakonisht jo

TLS mbron një kanal midis dy skajeve dhe nuk thotë asgjë për atë se cilat shërbime ndodhen brenda tij. Një mbështjellës e kthen atë kanal në një përcjellës të vetëm të konfiguruar, për një dëgjues të vetëm, drejt një destinacioni të vetëm. Një produkt i shitur si SSL VPN zakonisht shton një ndërfaqe, një tabelë rrugëtimi dhe një model aksesi rreth të njëjtit primitiv. Të ngatërrosh të dyja është mënyra se si një tunel që funksionon merret për akses rrjeti.

Çfarë lidh vërtet një mbështjellës shërbimi

Një mbështjellës dëgjon në një portë lokale dhe përcjell atë që mbërrin drejt një destinacioni të konfiguruar, qoftë një host dhe portë, qoftë një program lokal. Atë destinacion e zgjedh kush shkroi skedarin e konfigurimit, një dëgjues në një herë. Instalimi i paketës nuk krijon rrugë, ndërfaqe virtuale apo arritshmëri për asgjë që nuk është renditur shprehimisht. Lexoni konfigurimin përpara përshkrimit të paketës, sepse përshkrimi mbulon një klasë përdorimi dhe skedari mbulon tuajin.

Prandaj pyetja e dobishme për një mbështjellës nuk është nëse kripton, por çfarë qëndron në secilin skaj të zinxhirit që ndërton.

application -> local listener -> TLS connection -> remote listener -> configured backend

Lexojeni atë zinxhir nga konfigurimi dhe jo nga emri i marketingut. Çdo shigjetë është një kërcim i veçantë rrjeti me adresën e vet dhe rregullat e veta të aksesit.

Gjeni ku mbaron kanali TLS

Nëse mbështjellësi përfundon TLS, gjithçka që përcjell më tej është një lidhje e re me veti të reja. Rryma mund të jetë tekst i thjeshtë në një segment privat, ose mund të mbajë brenda vetes një protokoll tjetër të mbrojtur. Të supozosh njërën ose tjetrën pa lexuar konfigurimin e backend-it është mënyra se si njerëzit arrijnë në përfundimin se shtresa e jashtme mbron të dhëna që nuk i sheh më kurrë. Kërcimi i përcjellë meriton inspektimin e vet, në adresën dhe portën e vet.

Kontrolloni dëgjuesin dhe backend-in veçmas, sepse një shtrëngim duarsh që ka sukses te dera e përparme nuk thotë asgjë për shërbimin pas saj.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Komanda e parë tregon cili proces zotëron portën dhe në cilën adresë dëgjon. E dyta printon certifikatën që klienti merr në të vërtetë, dhe ky është kontrolli i identitetit që një numër porte nuk mund ta zëvendësojë.

Çfarë shton një VPN e rrugëzuar dhe një mbështjellës nuk e bën

Një VPN e rrugëzuar instalon një ndërfaqe, merr pronësinë e prefiksave të zgjedhur dhe integrohet me rrugëtimin dhe politikën e aksesit të hostit. Çdo aplikacion në makinë përfiton pa e ditur se tuneli ekziston. Një mbështjellës e jep atë shtrirje një dëgjuesi të konfiguruar dhe ndalon aty.

Pranimi është përsëri i veçantë. Një VPN që vërteton një klient ka ende nevojë për autorizim që thotë cilat burime mund të arrijë klienti, dhe një mbështjellës që vërteton një palë ka ende nevojë për një backend që zbaton lejet e veta.

Ka një kombinim legitim: një protokoll VPN i mbajtur brenda një mbështjellësi TLS mbi një rregullim TCP të mbështetur qëllimisht. Kjo grumbullon dy shtresa dhe nuk e bën mbështjellësin dhe VPN-në të njëjtin lloj objekti.

Krahasoni kufirin që dështon

Shkruani adresën e pjesës së përparme, dëgjuesin, identitetin e palës, objektivin e backend-it dhe operacionin e aplikacionit përpara se të ndryshoni çdo gjë. Më pas krahasoni të krahasueshmen me të krahasueshmen: një sukses përmes një emri tjetër hosti ose porte nuk provon se kushtet e firewall-it dhe certifikatës ishin identike.

Një kërkesë e refuzuar drejt backend-it nuk duhet të riparohet kurrë duke çaktivizuar verifikimin e identitetit të pjesës së përparme. Kjo shkëmben një dështim autorizimi të diagnostikueshëm me një dështim besimi të padiagnostikueshëm.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Fiksimi i emrit në një adresë të zgjedhur ndan zgjidhjen e emrave nga arritshmëria, dhe zakonisht kjo është mënyra më e shpejtë për të kuptuar se cila nga të dyja është prishur.

Krahasimi që ka rëndësi përmend çiftin e skajeve të mbrojtura, ngarkesën e transportuar, aplikacionet që e përdorin dhe lejen e zbatuar në destinacion. TLS kontribuon në atë përshkrim pa e plotësuar.