Jinsi wakala wa umma anavyofikia asili ya faragha kupitia VPN

Kuchapisha tovuti kupitia handaki na kuwapa watumiaji ufikiaji wa VPN ni mipango miwili tofauti inayoshiriki kebo moja. Katika ya kwanza, wakala wa kinyume wa umma hupokea ombi la mgeni na kulipitisha kupitia handaki hadi asili ambayo hakuna mtu anayeweza kuifikia moja kwa moja. Katika ya pili, mtumiaji lazima ajiunge na VPN kabla ya programu kufikiwa kabisa. Kuchanganya maelezo hayo mawili ndiyo njia ambayo backend ya faragha huishia kufichuliwa hadharani.

Mifano miwili inayofanana kwenye mchoro

Chora mishale kabla ya kuchagua chochote. Mfano wa uchapishaji wa umma unaenda kutoka kivinjari hadi wakala kupitia HTTPS, kisha kutoka wakala hadi asili kupitia handaki, na asili haikubali muunganisho kutoka mtandao kamwe. Mfano wa VPN pekee unaenda kutoka mteja hadi lango, na programu inafikiwa tu kutoka ndani ya njia hiyo. Kompyuta ya mkononi ya mtumiaji iko kwenye mtandao sawa na programu, na hiyo ndiyo maana yote ya mfano huo.

Mifano inatofautiana kwa nani anathibitisha na wapi. Katika ya kwanza, wakala ni lango la umma na hupitisha ombi lolote linalofika, hata lile la uadui, kwa kufuata sera iliyowekwa juu yake. Katika ya pili, ufikikaji wenyewe ni lango, ambalo ni uandikishaji mbaya lakini wa kweli.

TLS inasimama wapi, na inathibitisha nini kwa hakika

TLS kati ya kivinjari na wakala hulinda hatua hiyo na humruhusu kivinjari kuthibitisha tovuti iliyokusudia kutembelea. Ikiwa wakala atamaliza TLS, ombi lipo katika hali inayosomeka ndani ya mchakato huo kabla ya kupitishwa. Kikao cha pili cha TLS kuelekea asili kinaweza kulinda hatua inayofuata na kuthibitisha kituo cha mwisho cha programu kwa njia tofauti. Hakuna kikao kinachoamua ni mtu gani anayeweza kutumia programu. Cheti cha wildcard kwenye wakala pia hakiendelei hadi hatua hiyo ya pili.

Hii ndiyo sehemu ambayo watu huifupisha katika neno iliyosimbwa. Usiri, uadilifu na utambulisho wa seva ni sifa za usafirishaji; uidhinishaji ni uamuzi wa programu. Anwani ya faragha nyuma ya handaki hubadilisha nani anaweza kufikia soketi, si nani anaweza kuingia akishafika.

Amini vichwa vinavyopitishwa kutoka kwa wakala pekee

Programu zinazorekodi au kuidhinisha kwa anwani ya mteja kawaida husoma kichwa kinachoongezwa na wakala. Kichwa hicho ni maandishi tu, kwa hiyo chochote kinachoweza kufikia asili moja kwa moja kinaweza kudai anwani yoyote inayotaka. Weka kikomo kwa asili ili anwani ya handaki ya wakala pekee iweze kuunganisha, na usanidi programu ikubali kichwa kutoka anwani hiyo pekee.

curl -s -o /dev/null -w '%{http_code}
' -H 'X-Forwarded-For: 203.0.113.9' http://172.20.5.40/

Ikiwa ombi hilo litafaulu kutoka kwa mwenyeji ambaye si wakala, asili inaamini kichwa ambacho ilipaswa kuipuuza. Rekebisha kisikilizaji kabla ya kugusa programu. Kukataa ni matokeo bora zaidi kuliko mstari wa kumbukumbu uliobeba anwani ya kughushi.

Weka asili ifikike kutoka mahali pamoja hasa

Funga kisikilizaji cha asili kwenye anwani ya handaki au kizungushe kwa ukuta wa moto kuelekea wakala, kisha thibitisha ni nini kinachosikiliza kwa kweli. Huduma inayoanzishwa na kiungo cha wildcard hukubali miunganisho kwenye kila kiolesura alicho nacho mwenyeji, ikiwemo kile ulichosahau kuwa kinaweza kupitishwa. Jedwali la kusikiliza ndilo ukweli wa msingi, si faili ya usanidi uliyokusudia kutumia. Ikiwa kiungo cha wildcard ni cha kukusudia, ukuta wa moto bado lazima uwe sehemu inayobana.

ss -ltnp | grep -E ':(80|443)'

Fanya mapitio hayo hayo kwa violesura vya usimamizi, ambavyo ndivyo ufichuzi wa ajali wa kawaida. Kisha andika mifano miwili kando: tovuti ya umma kupitia wakala, na kiolesura cha utawala kinachofikika kwa handaki pekee. Sentensi kwamba seva iko nyuma ya VPN haisemi lolote la hayo.