TLS VPN ile IPsec: İncelemeye değer beş alan

TLS VPN'leri IPsec VPN'lerle protokol ailesi temelinde sıralamak, kimsenin sormadığı bir soruyu yanıtlar ve genellikle her iki ailenin yıllar önce bıraktığı bir yapıya atıfta bulunur. Bir incelemecinin gerçekten değerlendirebileceği şey, görüşülen koruma, eş kimliği, istemci modeli ve açığa çıkan hizmettir. Bu dört şey bir kurulumda görünür ve hiçbiri ürün etiketinden çıkmaz. Beş alan isteyin, konuşma somutlaşsın.

Beş alan, etiket bunlardan biri değil

İlk alan desteklenen yazılım sürümüdür, çünkü sürümü olmayan bir protokol tanımı broşürdür. İkincisi, hangi yapıların baştan itibaren kullanılabilir olduğunu belirleyen görüşülen protokol sürümüdür. Üçüncüsü koruma paketidir, dördüncüsü hem eş hem de kullanıcı için kimlik doğrulama yöntemidir ve beşincisi ürünün kabulden sonra verdiği erişim kapsamıdır.

Bir SSL VPN etiketi en az üç farklı ürünü kapsar: tam bir ağ istemcisi, bir uygulama vekili ve eski bir tarayıcı tabanlı portal. Farklı hizmetler sunarlar ve farklı biçimde başarısız olurlar, bu yüzden etiket kapsam alanının yerini tutamaz.

Kimliği doğrulanmış şifreleme gerçekte neyi değiştirir

TLS 1.3 kimliği doğrulanmış şifreleme gerektirir; bu, eski MAC-then-encrypt yapısını protokolden çıkarır, isteğe bağlı bırakmaz. IPsec ESP de aynı süredir kimliği doğrulanmış şifreleme paketlerine sahiptir; AES-GCM kendi RFC'sinde tanımlıdır. Her iki ailede de garanti aile adından değil, görüşülen paketten gelir; bu yüzden alan listesi bir sürümle başlar. Paketi adlandıramayan incelemecinin değerlendirecek bir şeyi yoktur.

Bu yüzden tarihsel karşılaştırma yanıltıcıdır. CBC paketli eski bir TLS sürümüne sabitlenmiş bir kurulum ile TLS 1.3'ü AEAD paketle çalıştıran bir kurulum aynı güvenlik duruşu değildir, ikisi de TLS VPN olsa bile. Aynı ayrım IPsec tarafında modern bir ESP paketi ile eski bir bileşim arasında da vardır.

Aklınızdaki yapılandırmayı değil, görüşülen değerleri okuyun. Aşağıdaki komutlar canlı bir uç noktanın ve canlı bir tünelin gerçekte ne üzerinde anlaştığını gösterir.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Uç nokta TLS 1.3 üzerinde anlaşmak istemiyorsa bu bir bulgudur, tercih değil. Tünel beklemediğiniz bir paket listeliyorsa, önemli olan yapılandırma eşlerin seçtiğidir, şablondaki değil.

Eş kimliği ayrı bir sorudur

Doğrulanmış bir eş olmadan şifreleme, trafiği gözlemcilerden korur ve onu bağlantıya yanıt verene teslim eder. Eş kimlik doğrulaması hangi kimliğin beklendiğini, hangi güven malzemesinin onu doğruladığını ve yanıt uyuşmadığında istemcinin nasıl davrandığını sorar. Sertifika zinciri, sabitlenmiş anahtar ve önceden paylaşılan sır, üç farklı işletim maliyeti olan üç farklı yanıttır.

Sonra aynı soruları kullanıcı veya cihaz için sorun. Makineyi doğrulayıp her kullanıcıyı kabul eden ya da tersini yapan bir geçidin, yazılması gereken, varsayılmaması gereken belirli bir duruşu vardır. Kabulden sonra uygulanan kaynak izinleri aynı alanın parçasıdır, çünkü kimlik doğrulama yetkilendirme değildir.

Ana makine adı ve sertifika denetimlerini korumak, oturum açma penceresinin tanıdıklığından daha önemlidir. Doğrulamayı yok sayacak şekilde yapılandırılmış bir istemci, geçidinizi inandırıcı bir taklitten ayıran tek adımı kaldırmıştır.

Ürünün açığa çıkardığı sınır

İstemcisiz bir portal, seçili uygulama işlemlerini geçit üzerinden vekillendirir, böylece kullanıcı bir ağa değil bir arayüze ulaşır. Tam tünelli bir istemci, rotalarının ve filtreleme ilkesinin seçtiğini taşır; bu çok daha büyük bir yüzeydir. İkisini protokol gücüne göre karşılaştırmak, bir saldırganın onlar üzerinden neye ulaşabileceği farkını kaçırır. Biri uygulama arayüzü, diğeri yönlendirilmiş ağ açar ve ikisi farklı incelemeler gerektirir.

Hangi hizmetin açık olduğunu, hangi işlemlerin yetkilendirildiğini ve geçidin kendisinin neyi dinlediğini sorun. Kullanıcı portalıyla aynı adresten erişilebilen bir yönetim arayüzü bir kurulum bulgusudur ve hiçbir protokol seçimi bunu telafi etmez.

Uygulama başına kapsam yüzeyi daha da daraltır ve tünel düştüğünde hata davranışını da değiştirir. Tam tünel erişimini varsayan bir tasarım, uygulama başına tasarımın bilmediği biçimlerde kırılır ve destek yükü bunu izler.

Hata sonucuna ve yaşam döngüsüne karar verin

Kimlik doğrulama veya koruma kullanılamadığında ne olacağı, incelemeye ait bir ilke kararıdır. Engellenen bir sonuç ile duyurulmamış doğrudan geri dönüşün sonuçları farklıdır ve fark bir özellik listesinde görünmez. Amaçlanan davranışı koruduğu kaynağın yanında belirtin.

Geçidin yama ve destek yaşam döngüsünü, etkin dış özelliklerini ve istemciler için güncelleme yolunu ekleyin. Doğru bir protokol seçimi kötü kurulmuş bir hizmeti güvenli yapmaz ve olayların çoğu pakette değil o boşlukta yaşar.

Beş alanı, hata ilkesini ve yaşam döngüsü sahibini tek bir sayfaya yazın. O sayfa bir incelemedir; protokol ailelerinin karşılaştırması bir görüştür.