SSL VPN au kifuniko cha TLS? Linganisha mpaka ulioshindwa

Miundo miwili inaweza kuendesha TLS kwenye bandari 443 na kumaanisha vitu tofauti kabisa. Kifuniko hulinda muunganisho mmoja uliowekwa kati ya bandari ya ndani na backend ya mbali. Muundo wa ufikiaji wa mtandao hubeba trafiki teule na hubadilisha kile mteja anachoweza kufikia. Fanya ukaguzi nne zilizo hapa chini kwa mpangilio na utajua unachokiangalia, ambacho kwa kawaida kinatosha kujua tabaka gani limeshindwa.

Anza na muunganisho uliouweka kweli

Andika upande wa mbele na wa nyuma kabla ya kulinganisha bidhaa. Kifuniko husikiliza kwenye anwani ya ndani na kuelekeza kwenye ya mbali, au huanzisha programu upande wa mbali, na jozi hiyo ndiyo mkataba wake wote. Programu nyingine za mteja hazijui chochote kuhusu hilo isipokuwa uzielekeze. Hii si kasoro ya chombo, chombo kiko kwa ajili ya hili.

Mkataba wa muundo wa mtandao ni tofauti, na unaonyeshwa katika njia na sera, si katika jozi ya bandari.

Angalia ni maelezo gani kati ya haya mawili yanayolingana na mchoro wako. Ikiwa jibu ni upangaji wa bandari moja na cheti katikati, una kifuniko hata jina la bidhaa likisema VPN. Ikiwa jibu ni kiolesura cha handaki na mabadiliko ya njia, una muundo wa mtandao hata ukiendeshwa kwenye 443.

Kagua kile kifuniko kinachounganisha nacho

Soma mipangilio ya kusikiliza na kuunganisha na uifuate hadi backend halisi. Kifuniko kinachoelekeza kwenye bandari ya hifadhidata hakifungui programu ya wavuti, na kifuniko kinachoendesha programu huanzisha programu hiyo badala ya kuchapisha kila kitu kingine ambacho mwenyeji anaendesha. Backend ndicho kitu pekee ambacho kifuniko kinajua.

Kisha amua ikiwa mtiririko unaoelekezwa ni maandishi wazi baada ya TLS kuisha. Muunganisho uliofunikwa hulinda sehemu kati ya vifuniko viwili, na kinachotokea baada ya kifuniko cha mbali ni swali tofauti. Ndiyo sababu kufunika kitu ambacho tayari kina ulinzi wake mwenyewe wakati mwingine ni busara na wakati mwingine ni sehemu za ziada zinazosonga tu. Kagua hatua inayofuata badala ya kudhani mojawapo ya majibu.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Amri ya kwanza inaonyesha cheti kinachotolewa kwa mteja kweli, na ya pili inaonyesha kinachosikiliza kwenye mwenyeji. Linganisha jina hilo la cheti na lile ulilolitarajia kabla ya kusoma kitu kingine chochote.

Kagua ni trafiki gani muundo unaobeba

Miundo ya ufikiaji wa mtandao hubeba trafiki teule na hujumuika na uelekezaji na sera ya ufikiaji ya mteja. Kukubali si idhini, kwa hiyo muunganisho uliothibitishwa bado unahitaji uamuzi kuhusu rasilimali gani unaweza kufikia. Lango lisilo na mteja ni muundo wa tatu unaofanya wakala wa shughuli zinazotumika bila kuonekana kamwe kama kiolesura cha tun.

Lebo ya bidhaa haikwambii ni muundo gani kati ya hii uliyonunua, na namba ya bandari inasema kidogo zaidi.

Tabaka zinawezekana na hazipaswi kuchanganya ulinganisho. Itifaki ya handaki yenyewe inaweza kufunikwa na TLS katika mpangilio wa TCP unaotumika, jambo ambalo linaongeza tabaka kuzunguka handaki bila kuufanya kifuniko kuwa handaki. Ni uamuzi wa muundo wenye tabia yake ya utendaji na kushindwa, na unastahili mstari kwenye mchoro. Iandike, kisha linganisha miundo ya msingi badala ya kifuniko cha nje.

Kagua mpaka ulioshindwa, si lebo

Andika ukweli wa jaribio moja lililoshindwa: anwani ya upande wa mbele, msikilizaji, utambulisho ambao mteja alithibitisha, lengo la backend na operesheni iliyoombwa. Ushirikiano wa mkono unaofanikiwa unathibitisha kuwa TLS ya nje ilikamilika na hausemi chochote kuhusu backend. Kukataliwa na backend ni tukio tofauti na kushindwa kwa utambulisho upande wa mbele, na hakuna kinachoboreka kwa kuondoa -verify_return_error kutoka kwa mteja. Linganisha kinachofanana na kinachofanana, kwa sababu mafanikio kupitia jina lingine la mwenyeji au bandari hayaonyeshi kuwa masharti yalikuwa sawa.

Bandari 443 ni kawaida inayoruhusu TLS kupita kwenye masanduku ya kati. Haifanyi trafiki holela kufanana na ombi la wavuti kwa kifaa cha sera.

Maliza kwa sentensi moja inayotaja jozi ya ncha, kinachobebwa, programu zipi zinazotumia na idhini gani lengwa inalazimisha. Muundo ambao hauwezi kujaza nafasi hizo nne haujakamilika, chochote lebo yake inachodai. Sentensi hiyo pia ni njia ya haraka zaidi ya kueleza muundo kwa yeyote anayemiliki firewall.