Proksi ya HTTP, handaki la SSH au VPN: chagua tabaka sahihi

Waulize wahandisi watatu jinsi ya kufikia huduma ya ndani na utapata miundo mitatu: proksi ya wavuti, handaki la SSH au VPN kamili. Yote matatu yanaweza kuleta huduma ya mbali karibu, na yote matatu yanaweza kufanya trafiki ionekane inatoka mahali pengine. Tofauti huonekana baadaye, wakati itifaki inayotumika si ile ambayo chombo kilichochaguliwa kinadhani. Muundo unaopita jaribio la haraka la kivinjari mara nyingi hushindwa katika programu iliyochochea ombi.

Amua kwa mambo mawili: ni itifaki gani zinapaswa kuvuka, na nani anaweza kutatua majina yanayohusika. Kila kitu kingine ni upendeleo.

Proksi huhamisha tu kile inachokielewa

Proksi ya wavuti huchanganua itifaki iliyoundwa kwa ajili yake. Mteja huikabidhi ombi na yenyewe hulipitisha ombi mbele, kwa hiyo programu isiyo na mpangilio wa proksi haishiriki kabisa. Kwa HTTPS mteja anahitaji kituo kisicho wazi, ambacho proksi hutoa kupitia CONNECT badala ya kusoma ombi.

Uelekezaji tendaji wa SSH hufungua mlango wa ndani unaozungumza SOCKS, na mlango huo hupeleka mtiririko wa TCP kwenye mwisho wowote unaotajwa na mteja. Itifaki zilizojengwa juu ya TCP kwa kawaida hufanya kazi kupitia huo. UDP haifanyi, isipokuwa chombo kiongeze msaada kwa uwazi. Uelekezaji wa ndani ni mwembamba zaidi: mlango mmoja wa ndani uliopangwa kwa mwenyeji na mlango maalum, unaohudumia huduma moja inayojulikana na hakuna zaidi.

ssh -D 1080 user@bastion
ssh -L 8443:fileserver.internal:443 user@bastion

VPN huhamisha pakiti. Kila kitu mteja anaelekeza kwenye handaki hupita ndani yake, ikiwa ni pamoja na UDP na ICMP, ndiyo sababu inafaa mahitaji ya mtandao badala ya muunganisho mmoja.

Mtu fulani lazima atatue jina

Wakati jina lengwa linapatikana tu katika DNS ya mtandao wa mbali, sanduku linalofanya utafutaji lazima liweze kuona eneo hilo. Proksi ya wavuti hufanya utafutaji yenyewe, kwa hiyo jina la ndani hufanya kazi kupitia yenyewe hata wakati kompyuta ndogo haiwezi kutatua jina kabisa. SOCKS inaweza kuishi vivyo hivyo, lakini tu ikiwa mteja anapeleka jina mbele badala ya kuunganisha kwa anwani ambayo tayari ameitatua. Uchaguzi huo upo kwa mteja, si kwa seva.

curl huonyesha mgawanyiko waziwazi: bendera moja hupeleka jina la mwenyeji kwa proksi, nyingine huutatua kwanza ndani. Kwa utatuzi wa ndani jina la ndani pekee hushindwa kabla handaki lolote kuguswa, na hitilafu inalaumu proksi kwa jambo ambalo kwa kweli lilikuwa uamuzi wa DNS.

VPN huchukua njia ya tatu kwa kuweka kitatuzi cha kibinafsi na kikoa cha utafutaji kando ya njia. Hiyo ni rahisi, na inazalisha udanganyifu unaojulikana: njia iliyopo na kitatuzi kisichojibu inaonekana kama handaki lililokufa, ingawa pakiti zinafika upande wa pili.

Wakati mtandao unaruhusu njia moja ya kutoka

Mitandao mingi ya kampuni huruhusu miunganisho ya kutoka kwa njia ya proksi ya wavuti iliyothibitishwa pekee. OpenVPN na SSH zote zinaweza kufanywa kufanya kazi hapo, ya kwanza kwa kufunga usafiri wake mwenyewe kupitia proksi na ya pili kupitia amri ya proksi inayoendesha msaidizi mdogo wa CONNECT.

Handaki zilizojengwa juu ya TCP hustahimili kizuizi hicho, na VPN inayotegemea UDP haistahimili, jambo linaloeleza mipangilio mingi inayofanya kazi nyumbani na kushindwa ofisini. Gharama ya pili ni rahisi kuipuuza: handaki la TCP lililobebwa ndani ya muunganisho wa TCP uliopitishwa proksi sasa lina tabaka mbili zinazotuma tena, na chini ya upotevu jozi hiyo hukwama kwa namna ambayo hakuna tabaka moja linalozalisha peke yake.

Kufungamanisha wahusika wa kati ni swali tofauti na kuchagua tabaka. Kuongeza proksi ya pili au Tor hubadilisha nani anachunguza nini, na nafasi katika mnyororo huamua hatua ipi inaona maandishi yaliyosimbwa.

Mpangilio ni muhimu zaidi kuliko idadi ya hatua. Hatua ya nje huchunguza mtiririko uliosimbwa wakati ya ndani inaona maandishi wazi inayobeba, kwa hiyo mnyororo ni wa faragha kadiri kiungo chake kisichojali zaidi. Kuchanganya itifaki kati ya hatua hakuboreshi hilo kiotomatiki. Mara nyingi hufanya hali za kushindwa kuwa ngumu kufikiria.

Anwani ya kughushi si mojawapo ya chaguo

Kutengeneza pakiti kwa anwani ya chanzo ya mtu mwingine hakufikii chochote cha manufaa: majibu huenda kwa mmiliki halisi, na mitandao mingi huitupa trafiki moja kwa moja. Mtu wa kati anahitajika kwa sababu chanzo hakiwezi kubuniwa, na hiyo ndiyo haki ya kweli kwa miundo yote mitatu.

Pia hupunguza kile chochote kati yao kinachoweza kudai. Kuonekana kama unatoka kwenye anwani fulani ni swali la mahali anwani hiyo imetolewa kihalali na nani anaweza kuielekeza, si la chombo kipi kinachoweza kughushi kichwa. Ikiwa muundo unadhani vinginevyo, dhana hiyo hushindwa kwa mtoa huduma wa kwanza anayeichuja. Andika dhana hiyo ili kushindwa kutambulika kinapofika.

Amua kwa itifaki na majina

Chukua proksi wakati mteja mmoja wa wavuti anahitaji huduma moja ya wavuti na ana mipangilio ya proksi. Chukua handaki la SSH wakati huduma chache zinazojulikana za TCP zinatosha na ufikiaji wa SSH tayari upo. Chukua VPN wakati programu kadhaa, trafiki isiyo ya TCP, DNS ya kibinafsi au njia inayoweza kutumika tena ni sehemu ya mahitaji.

Kisha thibitisha kwa mteja halisi na jina halisi. Kupakia ukurasa kupitia proksi hakukufundishi chochote kuhusu UDP, na kufanya chombo kimoja kifanye kazi kupitia SOCKS hakukufundishi chochote kuhusu kitatuzi cha mfumo. Soma ni anwani gani ya ndani mchakato uliifunga na ni kitatuzi kipi kilijibu. Hiyo ndiyo tofauti kati ya njia inayofanya kazi na ile iliyofanya kazi kwa bahati mara moja.