SSL VPN mi TLS sarmalı mı? Başarısız olan sınırı karşılaştırın

İki tasarım 443 numaralı bağlantı noktasında TLS çalıştırıp bununla tamamen farklı şeyler anlatabilir. Bir sarmal, yerel bir bağlantı noktası ile uzak bir backend arasındaki yapılandırılmış tek bir bağlantıyı korur. Ağ erişimi tasarımı seçilmiş trafiği taşır ve istemcinin nereye ulaşabileceğini değiştirir. Aşağıdaki dört kontrolü sırayla yapın ve hangisine baktığınızı bileceksiniz; bu genellikle hangi katmanın başarısız olduğunu bilmek için yeterlidir.

Gerçekten yapılandırdığınız bağlantıyla başlayın

Ürünleri karşılaştırmadan önce ön ucu ve arka ucu yazın. Bir sarmal yerel bir adreste dinler ve uzak bir adrese iletir ya da uzak tarafta bir program başlatır; bu çift onun tüm sözleşmesidir. İstemcinin diğer uygulamaları, siz onları oraya yönlendirmedikçe bunun hakkında hiçbir şey bilmez. Bu aracın bir eksikliği değil, araç bunun içindir.

Bir ağ tasarımının sözleşmesi farklıdır ve bağlantı noktası çiftinde değil, rotalarda ve politikada ifade edilir.

Bu iki tanımdan hangisinin şemanıza uyduğuna dikkat edin. Yanıt ortasında sertifika bulunan tek bir bağlantı noktası eşlemesiyse, ürün adı VPN dese de bir sarmalınız var. Yanıt bir tünel arabirimi ve rota değişiklikleriyse, 443'te çalışsa da bir ağ tasarımınız var.

Sarmalın neye bağlandığını kontrol edin

Dinleme ve bağlanma ayarlarını okuyun ve bunları gerçek backende kadar izleyin. Veritabanı bağlantı noktasına ileten bir sarmal bir web uygulaması açmaz ve bir program çalıştıran sarmal, ana bilgisayarın çalıştırdığı diğer her şeyi yayımlamak yerine o programı başlatır. Sarmalın bildiği tek şey backenddir.

Ardından TLS bittiğinde iletilen akışın düz metin olup olmadığına karar verin. Sarmalanmış bir bağlantı iki sarmal arasındaki kesimi korur ve uzak sarmaldan sonra olanlar ayrı bir sorudur. Bu yüzden kendi korumasını taşıyan bir şeyi sarmalamak bazen mantıklıdır, bazen yalnızca fazladan hareketli parçalardır. İki yanıttan birini varsaymak yerine bir sonraki atlamayı inceleyin.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

İlk komut istemciye gerçekte sunulan sertifikayı gösterir, ikincisi ana bilgisayarda neyin dinlediğini gösterir. Başka bir şey okumadan önce o sertifika adını beklediğiniz adla karşılaştırın.

Tasarımın hangi trafiği taşıdığını kontrol edin

Ağ erişimi tasarımları seçilmiş trafiği taşır ve istemcinin yönlendirmesiyle erişim politikasıyla bütünleşir. Kabul yetkilendirme değildir, bu yüzden kimliği doğrulanmış bir bağlantı hangi kaynaklara ulaşabileceğine dair bir karara hâlâ ihtiyaç duyar. İstemcisiz portal, desteklenen işlemleri vekil olarak yapan ancak hiçbir zaman tun arabirimi olarak görünmeyen üçüncü bir modeldir.

Ürün etiketi bu modellerden hangisini satın aldığınızı söylemez, bağlantı noktası numarası daha da azını söyler.

Katmanlama mümkündür ve karşılaştırmayı karıştırmamalıdır. Bir tünel protokolü desteklenen bir TCP düzeninde kendisi TLS ile sarılabilir; bu, tünelin çevresine bir katman ekler ama sarmalı tünele çevirmez. Bu, kendi performans ve arıza davranışı olan bir tasarım kararıdır ve şemada bir satırı hak eder. Bunu kaydedin, sonra dış sarmalı değil, temel modelleri karşılaştırın.

Başarısız olan sınırı kontrol edin, etiketi değil

Başarısız tek bir denemenin olgularını yazın: ön uç adresi, dinleyici, istemcinin doğruladığı kimlik, backend hedefi ve istenen işlem. Başarılı bir el sıkışma dış TLS'nin tamamlandığını kanıtlar ve backend hakkında hiçbir şey söylemez. Backend reddi, ön uçtaki bir kimlik hatasından farklı bir olaydır ve ikisi de istemciden -verify_return_error kaldırılarak düzelmez. Benzeri benzerle karşılaştırın, çünkü başka bir ana bilgisayar adı veya bağlantı noktası üzerinden gelen başarı koşulların aynı olduğunu göstermez.

443 numaralı bağlantı noktası TLS'nin ara kutulardan geçmesine izin veren bir gelenektir. Keyfî trafiği bir politika cihazı için web isteğine benzetmez.

Son nokta çiftini, neyin taşındığını, hangi uygulamaların bunu kullandığını ve hedefin hangi izni uyguladığını belirten tek bir cümleyle bitirin. Bu dört boşluğu dolduramayan bir tasarım, etiketi ne iddia ederse etsin bitmemiştir. O cümle aynı zamanda tasarımı güvenlik duvarının sahibine açıklamanın en hızlı yoludur.