Je, kifuniko cha TLS kinakupa mtandao wa kibinafsi? Kwa kawaida hapana

TLS hulinda chaneli kati ya ncha mbili na haisemi lolote kuhusu huduma zilizo ndani yake. Kifuniko hubadilisha chaneli hiyo kuwa kifadhili kimoja kilichosanidiwa, kwa msikilizaji mmoja, hadi lengwa moja. Bidhaa inayouzwa kama SSL VPN kwa kawaida huongeza kiolesura, jedwali la njia na mtindo wa ufikiaji kuzunguka kipengele hicho hicho cha msingi. Kuchanganya hivi viwili ndiyo sababu handaki inayofanya kazi huchukuliwa kama ufikiaji wa mtandao.

Kifuniko cha huduma huunganisha nini kwa hakika

Kifuniko husikiliza kwenye lango la ndani na hufadhili kile kinachofika hadi lengwa lililosanidiwa, iwe mwenyeji na lango au programu ya ndani. Lengwa hilo hulichagua aliyeandika faili ya usanidi, msikilizaji mmoja kwa wakati mmoja. Kusakinisha kifurushi hakuundi njia, kiolesura pepe au ufikikaji wa kitu chochote ambacho hakijatajwa waziwazi. Soma usanidi kabla ya maelezo ya kifurushi, kwa sababu maelezo hushughulikia aina moja ya matumizi na faili hushughulikia yako.

Kwa hivyo swali lenye faida kuhusu kifuniko si kama husimba, bali ni kile kilicho kwenye kila ncha ya mnyororo unaoujenga.

application -> local listener -> TLS connection -> remote listener -> configured backend

Soma mnyororo huo kutoka kwa usanidi na si kutoka kwa jina la masoko. Kila mshale ni hatua tofauti ya mtandao yenye anwani yake na kanuni zake za ufikiaji.

Gundua mahali chaneli ya TLS inaishia

Ikiwa kifuniko hukamilisha TLS, kila kinachofadhili ni muunganisho mpya wenye sifa mpya. Mtiririko unaweza kuwa maandishi wazi kwenye sehemu ya kibinafsi, au unaweza kubeba itifaki nyingine iliyolindwa ndani yake. Kudhani mojawapo bila kusoma usanidi wa backend ndiyo njia ambayo watu hufikia hitimisho kwamba tabaka la nje hulinda data ambayo haioni tena. Hatua iliyofadhiliwa inastahili ukaguzi wake yenyewe, kwenye anwani na lango lake.

Kagua msikilizaji na backend kwa tofauti, kwa sababu kupeana mikono kunakofanikiwa mlangoni haisemi lolote kuhusu huduma iliyo nyuma yake.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Amri ya kwanza inaonyesha ni mchakato gani unamiliki lango na kwenye anwani gani husikiliza. Ya pili huchapisha cheti ambacho mteja hupokea kwa hakika, na hii ndiyo ukaguzi wa utambulisho ambao namba ya lango haiwezi kuubadilisha.

Kifuniko cha VPN ya njia huongeza nini ambacho kifuniko hakifanyi

VPN ya njia husakinisha kiolesura, huchukua umiliki wa viambishi vilivyochaguliwa na hujumuika na uelekezaji na sera ya ufikiaji ya mwenyeji. Kila programu kwenye mashine hufaidika bila kujua kwamba handaki ipo. Kifuniko hutoa ufikikaji huo kwa msikilizaji mmoja aliyesanidiwa na huishia hapo.

Uingizaji ni jambo tofauti tena. VPN inayothibitisha mteja bado inahitaji idhini inayosema mteja anaweza kufikia rasilimali zipi, na kifuniko kinachothibitisha mwenza bado kinahitaji backend inayotekeleza ruhusa zake.

Kuna mchanganyiko halali: itifaki ya VPN inayobebwa ndani ya kifuniko cha TLS kwenye mpangilio wa TCP unaotumika kwa makusudi. Hiyo hurundika tabaka mbili, na haifanyi kifuniko na VPN kuwa aina moja ya kitu.

Linganisha mpaka unaoshindikana

Andika anwani ya mbele, msikilizaji, utambulisho wa mwenza, lengwa la backend na operesheni ya programu kabla ya kubadilisha chochote. Kisha linganisha kinacholinganishika: mafanikio kupitia jina lingine la mwenyeji au lango huthibitishi kwamba masharti ya firewall na cheti yalikuwa sawa.

Ombi la backend lililokataliwa halipaswi kamwe kurekebishwa kwa kuzima uthibitishaji wa utambulisho wa mbele. Hilo hubadilisha kushindwa kwa idhini kunakoweza kutambuliwa na kushindwa kwa uaminifu kusikoweza kutambuliwa.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Kubandika jina kwenye anwani iliyochaguliwa hutenganisha utatuzi wa majina na ufikikaji, na kwa kawaida hii ndiyo njia ya haraka zaidi ya kujua ni ipi kati ya hizo mbili imeharibika.

Ulinganisho unaoleta maana hutaja jozi ya ncha zilizolindwa, mzigo unaobebwa, programu zinazoutumia na ruhusa inayotekelezwa mahali lengwa. TLS huchangia maelezo hayo bila kuukamilisha.