SSL VPN o balot ng TLS? Ihambing ang hangganang nabigo

Dalawang disenyo ang maaaring magpatakbo ng TLS sa port 443 at ganap na magkaiba ang ibig sabihin. Ang isang balot nagpoprotekta ng isang naka-configure na koneksyon sa pagitan ng lokal na port at malayong backend. Ang disenyo ng pag-access sa network ay nagdadala ng piling trapiko at binabago kung ano ang maaabot ng kliyente. Gawin ang apat na pagsusuri sa ibaba nang sunod-sunod at malalaman mo kung alin ang tinitingnan mo, na karaniwang sapat upang malaman kung aling antas ang nabigo.

Magsimula sa koneksyong aktwal mong na-configure

Isulat ang harap at likod bago ihambing ang mga produkto. Ang isang balot ay nakikinig sa lokal na address at nagpapasa sa malayo, o naglulunsad ng programa sa malayong panig, at ang pares na iyon ang buong kontrata nito. Ang iba pang aplikasyon ng kliyente ay walang alam tungkol dito maliban kung ituturo mo sila roon. Hindi ito kakulangan ng kasangkapan, para rito ang kasangkapan.

Ang kontrata ng disenyo ng network ay iba, at ipinapahayag ito sa mga ruta at patakaran, hindi sa pares ng port.

Pansinin kung alin sa dalawang paglalarawan ang tugma sa iyong diagram. Kung ang sagot ay isang pagmamapa ng port na may sertipiko sa gitna, mayroon kang balot kahit sabihin ng pangalan ng produkto na VPN. Kung ang sagot ay interface ng tunel at mga pagbabago sa ruta, mayroon kang disenyo ng network kahit tumatakbo ito sa 443.

Suriin kung ano ang kinakabitan ng balot

Basahin ang mga setting ng pakikinig at pagkonekta at sundan ang mga ito hanggang sa tunay na backend. Ang balot na nagpapasa sa port ng database ay hindi nagbubukas ng web application, at ang balot na nagpapatakbo ng programa ay naglulunsad ng programang iyon sa halip na ilathala ang lahat ng iba pang pinapatakbo ng host. Ang backend ang tanging bagay na alam ng balot.

Pagkatapos ay magpasya kung ang ipinasang stream ay plaintext kapag natapos ang TLS. Ang balot na koneksyon ay nagpoprotekta sa segment sa pagitan ng dalawang balot, at ang nangyayari pagkatapos ng malayong balot ay hiwalay na tanong. Kaya nga ang pagbalot sa isang bagay na may sariling proteksyon ay kung minsan makatuwiran at kung minsan ay dagdag na gumagalaw na bahagi lamang. Suriin ang susunod na hakbang sa halip na ipalagay ang alinman sa dalawang sagot.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Ang unang utos ay nagpapakita ng sertipikong aktwal na iniaalok sa kliyente, at ang pangalawa ay nagpapakita ng nakikinig sa host. Ihambing ang pangalang iyon ng sertipiko sa inaasahan mo bago magbasa ng anupamang iba.

Suriin kung anong trapiko ang dala ng disenyo

Ang mga disenyo ng pag-access sa network ay nagdadala ng piling trapiko at nagsasama sa routing at patakaran ng pag-access ng kliyente. Ang pagtanggap ay hindi awtorisasyon, kaya ang isang na-authenticate na koneksyon ay nangangailangan pa rin ng desisyon kung aling mga resource ang maaabot nito. Ang portal na walang kliyente ay isang ikatlong modelo na nagpo-proxy sa mga sinusuportahang operasyon nang hindi kailanman lumilitaw bilang interface na tun.

Hindi sinasabi ng label ng produkto kung alin sa mga modelong ito ang binili mo, at ang numero ng port ay nagsasabi ng mas kaunti pa.

Posible ang paglalagay ng mga patong at hindi nito dapat guluhin ang paghahambing. Ang protocol ng tunel mismo ay maaaring balutin sa TLS sa isang sinusuportahang kaayusan ng TCP, na nagdaragdag ng patong sa paligid ng tunel nang hindi ginagawang tunel ang balot. Ito ay desisyon sa disenyo na may sariling pag-uugali sa performance at pagpalya, at karapat-dapat ito sa isang linya sa diagram. Itala ito, pagkatapos ay ihambing ang mga batayang modelo at hindi ang panlabas na balot.

Suriin ang hangganang nabigo, hindi ang label

Isulat ang mga katotohanan ng isang nabigong pagtatangka: address ng harap, tagapakinig, ang pagkakakilanlang na-verify ng kliyente, ang target ng backend at ang hiniling na operasyon. Ang matagumpay na pagkamay ay nagpapatunay na natapos ang panlabas na TLS at walang sinasabi tungkol sa backend. Ang pagtanggi ng backend ay ibang pangyayari kaysa sa pagkabigo ng pagkakakilanlan sa harap, at wala sa dalawa ang gumagaling sa pamamagitan ng pag-alis ng -verify_return_error sa kliyente. Ihambing ang katulad sa katulad, dahil ang tagumpay sa ibang hostname o port ay hindi nagpapakita na pareho ang mga kondisyon.

Ang port 443 ay isang kumbensyon na nagpapadaan sa TLS sa mga gitnang kahon. Hindi nito ginagawang parang web request ang arbitraryong trapiko para sa isang patakaran na aparato.

Tapusin sa isang pangungusap na nagngangalan sa pares ng dulo, kung ano ang dala, aling mga aplikasyon ang gumagamit nito at anong pahintulot ang ipinatutupad ng destinasyon. Ang disenyong hindi makapuno sa apat na puwang na iyon ay hindi tapos, anuman ang sinasabi ng label nito. Ang pangungusap na iyon din ang pinakamabilis na paraan upang ipaliwanag ang disenyo sa kung sino man ang may-ari ng firewall.