SSL VPN eller TLS-omslag? Jämför gränsen som misslyckades

Två konstruktioner kan köra TLS på port 443 och mena helt olika saker med det. Ett omslag skyddar en konfigurerad anslutning mellan en lokal port och en avlägsen backend. En nätverksåtkomstkonstruktion bär utvald trafik och ändrar vad klienten kan nå. Gå igenom de fyra kontrollerna nedan i ordning och du vet vilken av dem du tittar på, vilket oftast räcker för att veta vilket lager som misslyckades.

Börja med anslutningen du faktiskt konfigurerade

Skriv ned frontend och backend innan du jämför produkter. Ett omslag lyssnar på en lokal adress och vidarebefordrar till en avlägsen, eller startar ett program på den avlägsna sidan, och det paret är hela dess kontrakt. Klientens övriga program vet ingenting om det om du inte pekar dem dit. Det är ingen brist hos verktyget, det är vad verktyget är till för.

En nätverkskonstruktions kontrakt är annorlunda och uttrycks i rutter och policy, inte i ett portpar.

Notera vilken av de två beskrivningarna som passar ditt diagram. Om svaret är en portmappning med ett certifikat i mitten har du ett omslag även när produktnamnet säger VPN. Om svaret är ett tunnelgränssnitt och ruttändringar har du en nätverkskonstruktion även när den körs på 443.

Kontrollera vad omslaget ansluter till

Läs lyssnings- och anslutningsinställningarna och följ dem till den riktiga backenden. Ett omslag som vidarebefordrar till en databasport öppnar inte en webbapplikation, och ett omslag som kör ett program startar det programmet i stället för att publicera allt annat värden kör. Backenden är det enda omslaget känner till.

Avgör sedan om den vidarebefordrade strömmen är klartext när TLS slutar. En omsluten anslutning skyddar segmentet mellan de två omslagen, och vad som händer efter det avlägsna omslaget är en separat fråga. Därför är det ibland klokt att omsluta något som redan bär sitt eget skydd och ibland bara extra rörliga delar. Granska nästa hopp i stället för att anta något av de två svaren.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Det första kommandot visar certifikatet en klient faktiskt erbjuds, och det andra visar vad som lyssnar på värden. Jämför det certifikatnamnet med det du förväntade dig innan du läser något annat.

Kontrollera vilken trafik konstruktionen bär

Nätverksåtkomstkonstruktioner bär utvald trafik och integrerar med klientens routning och åtkomstpolicy. Tillträde är inte auktorisation, så en autentiserad anslutning behöver fortfarande ett beslut om vilka resurser den får nå. En klientlös portal är en tredje modell som proxar de stödda operationerna utan att någonsin uppträda som ett tun-gränssnitt.

Produktens etikett berättar inte vilken av modellerna du köpte, och portnumret berättar ännu mindre.

Lagerdelning är möjlig och bör inte förvirra jämförelsen. Ett tunnelprotokoll kan självt bäddas in i TLS i ett stött TCP-arrangemang, vilket lägger ett lager runt tunneln utan att göra omslaget till tunneln. Det är ett designval med sitt eget prestanda- och felbeteende, och det förtjänar en rad i diagrammet. Notera det och jämför sedan de underliggande modellerna i stället för det yttre omslaget.

Kontrollera den misslyckade gränsen, inte etiketten

Skriv ned fakta för ett misslyckat försök: frontendadress, lyssnaren, identiteten klienten verifierade, backend-målet och operationen som begärdes. Ett lyckat handskakning bevisar att den yttre TLS slutfördes och säger ingenting om backenden. En avvisning från backenden är en annan händelse än ett identitetsfel i frontend, och ingen av dem blir bättre av att ta bort -verify_return_error från klienten. Jämför lika med lika, eftersom en framgång via ett annat värdnamn eller port inte visar att villkoren var desamma.

Port 443 är en konvention som släpper igenom TLS genom mellanliggande enheter. Den får inte godtycklig trafik att likna en webbförfrågan för en policyenhet.

Avsluta med en mening som namnger ändpunktsparet, vad som bärs, vilka applikationer som använder det och vilken behörighet målet upprätthåller. En konstruktion som inte kan fylla de fyra luckorna är inte färdig, vad dess etikett än hävdar. Den meningen är också det snabbaste sättet att förklara konstruktionen för den som äger brandväggen.