TLS sarmalayıcısı size özel bir ağ verir mi? Genellikle vermez

TLS iki uç nokta arasındaki bir kanalı korur ve içinde hangi hizmetlerin bulunduğu konusunda hiçbir şey söylemez. Bir sarmalayıcı o kanalı tek bir yapılandırılmış ileticiye dönüştürür: tek bir dinleyici, tek bir hedef. SSL VPN olarak satılan bir ürün genellikle aynı ilkel öğenin etrafına bir arayüz, bir yönlendirme tablosu ve bir erişim modeli ekler. İkisini karıştırmak, çalışan bir tünelin ağ erişimi sanılmasının nedenidir.

Bir hizmet sarmalayıcısı gerçekte neyi bağlar

Bir sarmalayıcı yerel bir bağlantı noktasını dinler ve geleni yapılandırılmış bir hedefe iletir; bu hedef bir ana bilgisayar ve bağlantı noktası ya da yerel bir program olabilir. Bu hedefi yapılandırma dosyasını yazan seçer, her seferinde tek bir dinleyici. Paketi kurmak hiçbir yol, sanal arayüz veya açıkça listelenmemiş herhangi bir şey için erişilebilirlik oluşturmaz. Yapılandırmayı paket açıklamasından önce okuyun, çünkü açıklama bir kullanım sınıfını kapsar, dosya ise sizinkini.

Dolayısıyla bir sarmalayıcı hakkındaki yararlı soru, şifreleyip şifrelemediği değil, kurduğu zincirin her ucunda ne bulunduğudur.

application -> local listener -> TLS connection -> remote listener -> configured backend

Bu zinciri pazarlama adından değil yapılandırmadan okuyun. Her ok, kendi adresi ve kendi erişim kuralları olan ayrı bir ağ sıçramasıdır.

TLS kanalının nerede bittiğini bulun

Sarmalayıcı TLS'i sonlandırıyorsa, ilettiği her şey yeni özelliklere sahip yeni bir bağlantıdır. Akış özel bir segmentte düz metin olabilir ya da içinde başka bir korumalı protokol taşıyabilir. Arka uç yapılandırmasını okumadan bunlardan birini varsaymak, insanların dış katmanın bir daha hiç görmediği verileri koruduğu sonucuna varma yoludur. İletilen sıçrama, kendi adresinde ve bağlantı noktasında kendi incelemesini hak eder.

Dinleyiciyi ve arka ucu ayrı ayrı denetleyin, çünkü ön kapıda başarılı olan bir el sıkışma arkasındaki hizmet hakkında hiçbir şey söylemez.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

İlk komut bağlantı noktasına hangi sürecin sahip olduğunu ve hangi adreste dinlediğini gösterir. İkincisi istemcinin gerçekten aldığı sertifikayı yazdırır ve bu, bir bağlantı noktası numarasının yerini alamayacağı kimlik denetimidir.

Yönlendirilmiş bir VPN neyi ekler, sarmalayıcı neyi eklemez

Yönlendirilmiş bir VPN bir arayüz kurar, seçilen öneklerin sahipliğini alır ve ana bilgisayarın yönlendirmesi ve erişim ilkesiyle bütünleşir. Makinedeki her uygulama tünelin varlığını bilmeden yararlanır. Bir sarmalayıcı bu erişimi tek bir yapılandırılmış dinleyiciye verir ve orada durur.

Kabul yine ayrı bir konudur. Bir istemciyi kimlik doğrulayan VPN hâlâ istemcinin hangi kaynaklara erişebileceğini söyleyen bir yetkilendirmeye gereksinim duyar ve bir eşi kimlik doğrulayan sarmalayıcı hâlâ kendi izinlerini uygulayan bir arka uca gereksinim duyar.

Meşru bir birleşim vardır: bilerek desteklenen bir TCP düzenlemesi üzerinde TLS sarmalayıcısının içinde taşınan bir VPN protokolü. Bu iki katmanı üst üste yığar ve sarmalayıcı ile VPN'i aynı tür nesne yapmaz.

Başarısız olan sınırı karşılaştırın

Herhangi bir şeyi değiştirmeden önce ön uç adresini, dinleyiciyi, eş kimliğini, arka uç hedefini ve uygulama işlemini yazın. Sonra karşılaştırılabiliri karşılaştırılabilirle kıyaslayın: başka bir ana bilgisayar adı veya bağlantı noktası üzerinden gelen başarı, güvenlik duvarı ve sertifika koşullarının aynı olduğunu kanıtlamaz.

Reddedilen bir arka uç isteği asla ön uç kimlik doğrulaması kapatılarak onarılmamalıdır. Bu, tanılanabilir bir yetkilendirme hatasını tanılanamaz bir güven hatasıyla değiştirir.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Adı seçilen bir adrese sabitlemek, ad çözümlemesini erişilebilirlikten ayırır ve ikisinden hangisinin bozuk olduğunu anlamanın en hızlı yolu genellikle budur.

Önemli olan karşılaştırma, korunan uç nokta çiftini, taşınan yükü, onu kullanan uygulamaları ve hedefte uygulanan izni adlandırır. TLS bu tanıma katkıda bulunur ama onu tamamlamaz.