TLS VPN наспрам IPsec: пет поља која вреди прегледати

Рангирање TLS VPN-ова наспрам IPsec VPN-ова по фамилији протокола одговара на питање које нико није поставио и обично цитира конструкцију коју су обе фамилије напустиле пре година. Оно што рецензент заиста може проценити јесте договорена заштита, идентитет партнера, модел клијента и изложена услуга. Те четири ствари видљиве су у распоређивању и ниједна не произилази из ознаке производа. Затражите пет поља и разговор постаје конкретан.

Пет поља, а ознака није једно од њих

Прво поље је подржано издање софтвера, јер је опис протокола без верзије брошура. Друго је договорена верзија протокола, која одлучује које су конструкције уопште доступне. Треће је заштитни скуп, четврто је метод аутентикације за партнера и корисника, а пето је обим приступа који производ даје након пријема.

Ознака VPN SSL покрива најмање три различита производа: пуног мрежног клијента, прокси апликација и старији портал заснован на прегледачу. Излажу различите услуге и отказују на различит начин, па ознака не може заменити поље обима.

Шта аутентификовано шифровање заиста мења

TLS 1.3 захтева аутентификовано шифровање, што из протокола уклања старију конструкцију MAC-then-encrypt уместо да је остави необавезном. IPsec ESP има скупове аутентификованог шифровања једнако дуго, са AES-GCM дефинисаним у сопственом RFC-у. У обе фамилије гаранција долази из договореног скупа, а не из имена фамилије, зато списак поља почиње верзијом. Рецензент који не може да именује скуп нема шта да процени.

Зато је историјско поређење обмањујуће. Распоређивање причвршћено за стару верзију TLS-а са скупом CBC и оно које покреће TLS 1.3 са скупом AEAD нису исто безбедносно стање, иако су обоје TLS VPN. Иста подела постоји на страни IPsec између модерног скупа ESP и старије комбинације.

Читајте договорене вредности уместо конфигурације коју сте намеравали. Наредбе испод показују око чега су се жива крајња тачка и жив тунел заиста договорили.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Ако крајња тачка не жели да преговара TLS 1.3, то је налаз, а не склоност. Ако тунел наводи скуп који нисте очекивали, конфигурација која је важна јесте она коју су изабрали партнери, а не она из шаблона.

Идентитет партнера је засебно питање

Шифровање без провереног партнера штити саобраћај од посматрача и предаје га ономе ко је одговорио на везу. Аутентикација партнера пита који се идентитет очекује, који материјал поверења га потврђује и како се клијент понаша када одговор не одговара. Ланац сертификата, причвршћени кључ и унапред дељена тајна три су различита одговора са три различита оперативна трошка.

Затим поставите иста питања о кориснику или уређају. Приступник који аутентификује машину и пушта било ког корисника, или обрнуто, има одређен став који треба записати, а не претпоставити. Дозволе за ресурсе примењене након пријема део су истог поља, јер аутентикација није ауторизација.

Очување провера имена хоста и сертификата важније је од познатости прозора за пријаву. Клијент конфигурисан да занемари проверу уклонио је једини корак који разликује ваш приступник од уверљиве имитације.

Граница коју производ излаже

Портал без клијента посредује одабране апликацијске операције кроз приступник, па корисник достиже интерфејс, а не мрежу. Клијент пуног тунела носи оно што одаберу његове руте и политика филтрирања, што је много већа површина. Поређење њих двоје по снази протокола промашује разлику у томе до чега нападач може да дође кроз њих. Један излаже апликацијски интерфејс, други усмерену мрежу, и обоје захтевају различите прегледе.

Питајте која је услуга изложена, које су операције ауторизоване и на чему сам приступник слуша. Административни интерфејс доступан са исте адресе као кориснички портал је налаз распоређивања и никакав избор протокола то не надокнађује.

Обим по апликацији додатно сужава површину и мења и понашање при квару када тунел падне. Дизајн који претпоставља домет пуног тунела ломи се на начине које дизајн по апликацији не познаје, а оптерећење подршке следи.

Одлучите исход квара и животни циклус

Шта се дешава када аутентикација или заштита није доступна је одлука политике која припада прегледу. Блокиран исход и необјављени директни повратак имају различите последице, а разлика је на списку функција невидљива. Наведите намеравано понашање уз ресурс који штити.

Укључите животни циклус закрпа и подршке приступника, његове омогућене спољне функције и пут ажурирања клијената. Исправан избор протокола не чини безбедном лоше распоређену услугу, а већина инцидената живи у тој празнини, а не у скупу.

Запишите пет поља, политику квара и власника животног циклуса на једну страницу. Та страница је преглед; поређење фамилија протокола је мишљење.