Nagbibigay ba ng pribadong network ang TLS wrapper? Karaniwang hindi

Pinoprotektahan ng TLS ang isang channel sa pagitan ng dalawang dulo at walang sinasabi tungkol sa kung aling mga serbisyo ang nasa loob nito. Ginagawa ng wrapper ang channel na iyon na isang naka-configure na forwarder, para sa isang tagapakinig, patungo sa isang destinasyon. Ang produktong ibinebenta bilang SSL VPN ay karaniwang nagdaragdag ng interface, talaan ng ruta at modelo ng pag-access sa paligid ng parehong primitive. Ang pagkalito sa dalawa ang dahilan kung bakit ang gumaganang tunnel ay napagkakamalang pag-access sa network.

Ano ang talagang ikinokonekta ng service wrapper

Nakikinig ang wrapper sa isang lokal na port at ipinapasa ang dumarating sa isang naka-configure na destinasyon, maging host at port o lokal na programa. Ang destinasyong iyon ay pinipili ng sumulat ng configuration file, isang tagapakinig sa isang pagkakataon. Ang pag-install ng package ay hindi gumagawa ng mga ruta, virtual interface o maaabot para sa anumang hindi tahasang nakalista. Basahin ang configuration bago ang paglalarawan ng package, dahil ang paglalarawan ay sumasaklaw sa isang klase ng paggamit at ang file ay sumasaklaw sa iyo.

Kaya ang kapaki-pakinabang na tanong tungkol sa wrapper ay hindi kung nagsi-encrypt ito, kundi kung ano ang nasa bawat dulo ng chain na itinatayo nito.

application -> local listener -> TLS connection -> remote listener -> configured backend

Basahin ang chain na iyon mula sa configuration at hindi mula sa pangalan ng marketing. Ang bawat arrow ay hiwalay na network hop na may sariling address at sariling panuntunan sa pag-access.

Hanapin kung saan nagtatapos ang TLS channel

Kung tinatapos ng wrapper ang TLS, lahat ng ipinapasa nito ay bagong koneksyon na may bagong katangian. Ang stream ay maaaring plaintext sa isang pribadong segment, o maaaring magdala ng isa pang protektadong protocol sa loob nito. Ang pagpapalagay ng alinman sa dalawa nang hindi binabasa ang configuration ng backend ay kung paano napupunta ang mga tao sa konklusyon na pinoprotektahan ng panlabas na layer ang datos na hindi na nito nakikita. Ang ipinasa na hop ay karapat-dapat sa sarili nitong pagsusuri, sa sariling address at port.

Suriin ang tagapakinig at backend nang hiwalay, dahil ang matagumpay na pakikipagkamay sa harap na pinto ay walang sinasabi tungkol sa serbisyo sa likod nito.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Ipinapakita ng unang utos kung aling proseso ang may-ari ng port at sa aling address ito nakikinig. Ang pangalawa ay nagpi-print ng sertipiko na aktuwal na natatanggap ng kliyente, at ito ang pagsusuri ng pagkakakilanlan na hindi mapapalitan ng numero ng port.

Ano ang idinadagdag ng routed VPN na hindi ginagawa ng wrapper

Ang routed VPN ay nag-i-install ng interface, kumukuha ng pagmamay-ari ng mga piniling prefix at nagsasama sa routing at patakaran sa pag-access ng host. Nakikinabang ang bawat aplikasyon sa makina nang hindi alam na may tunnel. Ibinibigay ng wrapper ang saklaw na iyon sa isang naka-configure na tagapakinig at doon ito tumitigil.

Ang pagtanggap ay hiwalay na naman. Ang VPN na nagpapatunay ng kliyente ay nangangailangan pa rin ng awtorisasyon na nagsasabi kung aling mga mapagkukunan ang maaabot ng kliyente, at ang wrapper na nagpapatunay ng peer ay nangangailangan pa rin ng backend na nagpapatupad ng sarili nitong mga pahintulot.

May lehitimong kombinasyon: isang protocol ng VPN na dinadala sa loob ng TLS wrapper sa isang sadyang sinusuportahang TCP arrangement. Nag-iipon iyon ng dalawang layer, at hindi nito ginagawang parehong uri ng bagay ang wrapper at ang VPN.

Ihambing ang hangganang nabibigo

Isulat ang frontend address, tagapakinig, pagkakakilanlan ng peer, target ng backend at operasyon ng aplikasyon bago baguhin ang anuman. Pagkatapos ay ihambing ang maihahambing: ang tagumpay sa ibang hostname o port ay hindi nagpapatunay na ang mga kondisyon ng firewall at sertipiko ay magkapareho.

Ang tinanggihang kahilingan sa backend ay hindi kailanman dapat ayusin sa pamamagitan ng pag-off ng pagpapatunay ng pagkakakilanlan sa frontend. Ipinagpapalit nito ang isang madadagnos na pagkabigo sa awtorisasyon para sa isang hindi madadagnos na pagkabigo sa tiwala.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Ang pag-pin ng pangalan sa piniling address ay naghihiwalay ng resolusyon ng pangalan mula sa maaabot, at ito ang karaniwang pinakamabilis na paraan upang malaman kung alin sa dalawa ang sira.

Pinapangalanan ng mahalagang paghahambing ang protektadong pares ng dulo, ang payload na dinadala, ang mga aplikasyong gumagamit nito at ang pahintulot na ipinatutupad sa destinasyon. Nag-aambag ang TLS sa paglalarawang iyon nang hindi ito kinukumpleto.