HTTPS Basic ప్రామాణీకరణ మరియు IPsec: ప్రతి ఒక్కటి ఏమి రక్షిస్తుంది

డెవలపర్ సాధనాలను తెరిచి, అంతర్గత అనువర్తనాన్ని లోడ్ చేసి, పేజీ రెండర్ కాకముందు ఒక అభ్యర్థన నాలుగు తనిఖీ కేంద్రాల గుండా ఎలా వెళుతుందో గమనించండి. మొదట పేరు పరిష్కరించబడుతుంది, తర్వాత TCP కనెక్షన్ తెరుచుకుంటుంది, ఆపై TLS హ్యాండ్షేక్ సర్వర్ ఎవరో నిర్ధారిస్తుంది, ఆ తర్వాత మాత్రమే అనువర్తనం మీరు ఎవరో అడుగుతుంది. వీటిని వేర్వేరు సంఘటనలుగా పరిగణించండి, ఎందుకంటే ప్రతి ఒక్కటి వేర్వేరు సాక్ష్యాలతో విఫలమవుతుంది మరియు ప్రతి ఒక్కటి వేర్వేరు బృందానికి చెందుతుంది. సంఘటనల్లో ఎక్కువ గందరగోళం 401ను సొరంగ సమస్యగా చదవడం వల్ల, లేదా సొరంగ సమస్యను చెడు పాస్వర్డ్గా చదవడం వల్ల వస్తుంది.

మొదటి తనిఖీ కేంద్రం: మీరు మాట్లాడాలనుకున్న సర్వర్ ఇదేనా

ఏ సాక్ష్యం పంపకముందే TLS హ్యాండ్షేక్ ఆ ప్రశ్నకు సమాధానం ఇస్తుంది. మీ క్లయింట్ విశ్వాస నిల్వకు వ్యతిరేకంగా సర్టిఫికెట్ గొలుసును ధృవీకరిస్తుంది మరియు సర్టిఫికెట్లోని పేరు మీరు టైప్ చేసిన హోస్ట్తో సరిపోతుందో లేదో తనిఖీ చేస్తుంది. అది విఫలమైతే, బ్రౌజర్ సర్టిఫికెట్ లోపాన్ని చూపుతుంది మరియు Authorization హెడర్ను అసలు పంపదు. కాబట్టి పాస్వర్డ్ అడగడం సర్వర్ నిజమైనదనడానికి సాక్ష్యం కాదు; అది అనువర్తనం సమాధానం ఇచ్చిందనడానికి సాక్ష్యం.

ఇక్కడ మొదటి సరిహద్దు కనిపిస్తుంది. TLS తన ముగింపు బిందువు వరకు కనెక్షన్ను రక్షిస్తుంది. లోడ్ బ్యాలెన్సర్ TLSను ముగించి అనువర్తనానికి సాదా HTTP పంపితే, గుప్తీకరించిన భాగం బ్యాలెన్సర్ వద్ద ముగుస్తుంది, మరియు సాక్ష్యాలు ఆ మొదటి దశలో మాత్రమే రక్షించబడతాయి.

రెండవ తనిఖీ కేంద్రం: 401 మార్పిడిలో నిజంగా ఏమి ప్రయాణిస్తుంది

HTTP Basic ప్రామాణీకరణ వినియోగదారు గుర్తింపు మరియు పాస్వర్డ్ను ఒక హెడర్లో పంపుతుంది, RFC 7617లో వివరించిన విధంగా Base64తో గుప్తీకరించబడుతుంది. Authorization: Basic dXNlcjpwYXNz దాని రూపం; అభ్యర్థనను చదవగలిగే ఎవరైనా గుప్తీకరణను తిరగరాయగలరు, కాబట్టి మొత్తం రహస్యత్వం కింది రవాణా నుండి వస్తుంది. curl -v WWW-Authenticate: Basic సవాలును మరియు మీరు తిరిగి పంపే హెడర్ను రెండింటినీ చూపుతుంది.

ఆ హెడర్ ఎవరు అడుగుతున్నారో అనువర్తనానికి చెబుతుంది. ఎవరు కనెక్ట్ అవ్వవచ్చో నెట్వర్క్కు చెప్పదు, మరియు తనంతట తాను ఏదీ గుప్తీకరించదు. అనువర్తనం ఇప్పటికీ సాక్ష్యాన్ని ఒక నిల్వతో తనిఖీ చేసి ఆ ఖాతా ఏమి చేయగలదో నిర్ణయించాలి, అదే అధికారం ఇవ్వడం మరియు ప్రామాణీకరణ తర్వాత జరుగుతుంది.

ఆ మార్గంలో IPsec సొరంగం ఎక్కడ ఉంటుంది

ఇప్పుడు బ్రౌజర్ నుండి బయటకు నడవండి. గేట్వే నుండి గేట్వేకు IPsec సొరంగం రెండు భద్రతా గేట్వేల మధ్య ఎంచుకున్న ట్రాఫిక్ను రక్షిస్తుంది, మీ ల్యాప్టాప్ మరియు అనువర్తన ప్రక్రియ మధ్య కాదు. సొరంగ మోడ్ ESP అసలు ప్యాకెట్ను చుట్టుతుంది, గేట్వేలు దానిని గుప్తీకరించి ప్రామాణీకరిస్తాయి, లోపలి చిరునామాలు నిలిచి ఉంటాయి కాబట్టి దూరపు వైపు అభ్యర్థనను అనువర్తనానికి మళ్లించగలదు.

ఎంపికే ప్రజలను తడబడేలా చేసే భాగం. విధాన ఆధారిత సొరంగాలు ట్రాఫిక్ ఎంపికకారులను ఉపయోగిస్తాయి, తరచుగా యాక్సెస్ కంట్రోల్ జాబితాలుగా వ్యక్తీకరించబడతాయి, ఏ ప్యాకెట్లు సొరంగంలోకి వెళతాయో నిర్ణయించడానికి. మార్గ ఆధారిత సొరంగాలు బదులుగా వర్చువల్ ఇంటర్ఫేస్ మరియు రూటింగ్ పట్టికను ఉపయోగిస్తాయి. Linuxలో ip xfrm policy ఎంపికకారులను చూపుతుంది మరియు ip xfrm state ఏర్పాటైన భద్రతా సంబంధాలను చూపుతుంది; ఫైర్వాల్ పరికరంలో దానికి సమానమైనది సొరంగం SA పట్టికతో పాటు ప్యాకెట్ ట్రేసర్.

పరిణామాన్ని స్పష్టంగా చెప్పాలి. ఒక ప్యాకెట్ పూర్తిగా ఆరోగ్యకరమైన సొరంగంలో ఉండి కూడా అనువర్తనం తిరస్కరించే HTTPS అభ్యర్థనను మోయగలదు, మరియు రూటింగ్ అనుమతిస్తే చెల్లుబాటు అయ్యే సాక్ష్యాలు సొరంగం లేని మార్గం ద్వారా కూడా చేరుకోగలవు.

విఫలతను నివేదించిన పొరలో చదవండి

401 అంటే అనువర్తనం సాక్ష్యాన్ని అంగీకరించలేదు. 403 అంటే అది గుర్తింపును అంగీకరించి కార్యకలాపాన్ని నిరాకరించింది. TLS లోపం అంటే క్లయింట్ సర్వర్ను అంగీకరించలేదు. మార్గం లేకపోవడం లేదా విధానం సరిపోకపోవడం అంటే ప్యాకెట్ ఎప్పుడూ దూరపు గేట్వేను చేరలేదు. నాలుగు వేర్వేరు విఫలతలు, నలుగురు వేర్వేరు యజమానులు, మరియు వాటిలో ఏదీ లాగిన్ ఫారంను చూసి నిర్ధారించబడదు.

ప్రతి పొర ఉత్పత్తి చేసే సాక్ష్యాలను ఉపయోగించండి: స్థితి మరియు హెడర్ల కోసం బ్రౌజర్ నెట్వర్క్ ప్యానెల్, సర్టిఫికెట్ గొలుసు కోసం openssl s_client -connect host:443, సొరంగ ట్రాఫిక్ కోసం గేట్వే SA కౌంటర్లు మరియు లాగ్లు, మరియు ఖాతా నిర్ణయం కోసం అనువర్తన లాగ్. రెండు పొరలు ఒకేసారి లోపాలను నివేదిస్తే, మొదట కింది పొరను సరిచేయండి, ఎందుకంటే చనిపోయిన సొరంగం ప్రామాణీకరణ వైఫల్యాన్ని సులభంగా కప్పగలదు మరియు దానికి విరుద్ధమూ అలాగే.

ఒక సేవను మొదటి నుండి చివరి వరకు మ్యాప్ చేయండి

మీరు సమస్య పరిష్కరిస్తున్న సేవ కోసం ఐదు పంక్తులు రాయండి: సొరంగం ఏ వైపులను కలుపుతుంది, ఎంపికకారులు ఏ సబ్నెట్లు మరియు పోర్టులను అనుమతిస్తాయి, TLS ఎక్కడ ముగుస్తుంది మరియు సర్టిఫికెట్ ఏ గుర్తింపును ధృవీకరిస్తుంది, ఏ అనువర్తన ఖాతా మరియు పాత్ర ఉపయోగించబడుతుంది, మరియు ప్రతి పొర ఎక్కడ లాగ్ చేస్తుంది. వాటిని ఒక పేజీలో ఉంచండి, ఎందుకంటే మ్యాప్ ఉద్దేశం ఒక పొర బాధ్యత ఎక్కడ ముగిసి తదుపరిది ఎక్కడ మొదలవుతుందో చూపడం.

తర్వాత ప్రతి పొరకు ఒక ప్రతికూల సందర్భాన్ని పరీక్షించండి. తప్పు పాస్వర్డ్ను ఉపయోగించి 401 వస్తుందా, సమయం ముగియడం లేదా నిర్ధారించండి. ఎంపికకారుల వెలుపలి సబ్నెట్ నుండి కనెక్ట్ అయ్యి ప్యాకెట్ సొరంగంలోకి వెళ్లడం లేదా నిర్ధారించండి. తప్పు పేరు కోసం సర్టిఫికెట్ను చూపి, సాక్ష్యాలు పంపకముందే క్లయింట్ నిరాకరిస్తుందా నిర్ధారించండి. ఆ మూడు ఫలితాలు ఏ పెట్టె చిత్రం కంటే ఎక్కువగా డిజైన్ గురించి చెబుతాయి.

చివరగా, ప్రతి సంబంధానికి ఏ రక్షణ అవసరమో ఉద్దేశపూర్వకంగా నిర్ణయించండి. TLSపై Basic ప్రామాణీకరణ గేట్వే వెనుక ఉన్న చిన్న అంతర్గత సాధనానికి సహేతుకంగా సరిపోతుంది; ఇది వినియోగదారు వారీగా అధికారం ఇవ్వడానికి లేదా TLS ముగింపు బిందువు దాటి ట్రాఫిక్ను రక్షించడానికి ప్రత్యామ్నాయం కాదు. సొరంగం మార్గాన్ని రక్షిస్తుంది, సర్టిఫికెట్ దశను రక్షిస్తుంది, 401 ఖాతాను రక్షిస్తుంది, మరియు వాటిలో చివరిది మాత్రమే మీరు ఎవరో తెలుసుకుంటుంది.