Paano naaabot ng pampublikong proxy ang pribadong pinagmulan sa pamamagitan ng VPN

Ang paglalathala ng website sa pamamagitan ng tunnel at ang pagbibigay ng VPN access sa mga user ay dalawang magkaibang kaayusan na nagbabahagi ng isang kable. Sa una, tinatanggap ng pampublikong reverse proxy ang kahilingan ng bisita at ipinapasa ito sa tunnel patungo sa pinagmulang walang makarating nang direkta. Sa ikalawa, kailangang sumali ng user sa VPN bago pa maging accessible ang application. Ang paghahalo ng dalawang paglalarawan ay ang paraan kung paano nauuwi ang pribadong backend sa pagiging pampublikong nakalantad.

Dalawang modelo na magkamukha sa diagram

Iguhit ang mga arrow bago pumili ng anuman. Ang modelong pampublikong paglalathala ay dumadaan mula browser patungong proxy sa HTTPS, pagkatapos mula proxy patungong pinagmulan sa tunnel, at hindi kailanman tumatanggap ang pinagmulan ng koneksyon mula sa internet. Ang modelong VPN lamang ay dumadaan mula client patungong gateway, at ang application ay maaabot lamang mula sa loob ng landas na iyon. Ang laptop ng user ay nasa parehong network ng application, at iyon ang buong punto ng modelong iyon.

Nagkakaiba ang mga modelo sa kung sino ang nagpapatunay at saan. Sa una, ang proxy ang pampublikong pasukan at ipinapasa nito ang anumang kahilingang dumarating, kasama na ang pagalit, alinsunod sa patakarang naka-configure dito. Sa ikalawa, ang pagiging maaabot mismo ang pintuan, na isang magaspang ngunit tunay na pagtanggap.

Saan humihinto ang TLS, at ano talaga ang pinatutunayan nito

Pinoprotektahan ng TLS sa pagitan ng browser at proxy ang pagtalon na iyon at hinahayaan ang browser na i-verify ang site na balak nitong bisitahin. Kung wakasan ng proxy ang TLS, umiiral ang kahilingan sa nababasang anyo sa loob ng prosesong iyon bago ito ipasa. Ang ikalawang sesyon ng TLS patungong pinagmulan ay maaaring protektahan ang susunod na pagtalon at hiwalay na i-verify ang endpoint ng application. Wala sa mga sesyon ang nagpapasya kung sinong tao ang maaaring gumamit ng application. Ang wildcard certificate sa proxy ay hindi rin umaabot sa ikalawang pagtalon na iyon.

Ito ang bahaging pinagsasama-sama ng mga tao sa salitang naka-encrypt. Ang pagiging kompidensyal, integridad at pagkakakilanlan ng server ay mga katangian ng transportasyon; ang awtorisasyon ay desisyon ng application. Ang pribadong address sa likod ng tunnel ay nagbabago kung sino ang makakaabot sa socket, hindi kung sino ang makakapag-log in kapag nakarating na.

Magtiwala sa mga forwarded header mula lamang sa proxy

Ang mga application na naglo-log o nag-aawtorisa batay sa address ng client ay karaniwang nagbabasa ng header na idinadagdag ng proxy. Ang header na iyon ay teksto lamang, kaya kahit anong makakaabot nang direkta sa pinagmulan ay maaaring mag-claim ng kahit anong address na gusto nito. Limitahan ang pinagmulan upang ang address ng tunnel ng proxy lamang ang makakonekta, at i-configure ang application na tanggapin ang header mula lamang sa address na iyon.

curl -s -o /dev/null -w '%{http_code}
' -H 'X-Forwarded-For: 203.0.113.9' http://172.20.5.40/

Kung magtagumpay ang kahilingang iyon mula sa host na hindi ang proxy, nagtitiwala ang pinagmulan sa header na dapat nitong balewalain. Ayusin ang listener bago hawakan ang application. Ang pagtanggi ay mas mabuting resulta kaysa sa linya ng log na may dalang palsipikadong address.

Panatilihing maaabot ang pinagmulan mula sa eksaktong isang lugar

Itali ang listener ng pinagmulan sa address ng tunnel o bakuran ito ng firewall patungo sa proxy, pagkatapos ay kumpirmahin kung ano talaga ang nakikinig. Ang serbisyong sinimulan na may wildcard binding ay tumatanggap ng mga koneksyon sa bawat interface na mayroon ang host, kasama na ang isang nakalimutan mong naitatawid. Ang listening table ang pangunahing katotohanan, hindi ang configuration file na balak mong ilapat. Kung ang wildcard binding ay sinasadya, ang firewall pa rin ang dapat na bahaging nagpapakipot nito.

ss -ltnp | grep -E ':(80|443)'

Gawin ang parehong pagsusuri para sa mga management interface, na siyang karaniwang aksidenteng paglantad. Pagkatapos ay isulat nang hiwalay ang dalawang modelo: ang pampublikong site sa pamamagitan ng proxy, at ang administration interface na maaabot lamang sa pamamagitan ng tunnel. Ang pangungusap na ang server ay nasa likod ng VPN ay walang sinasabi sa mga iyon.