کیا TLS ریپر آپ کو نجی نیٹ ورک دیتا ہے؟ عام طور پر نہیں

TLS دو سروں کے درمیان ایک چینل کی حفاظت کرتا ہے اور اس بات پر کچھ نہیں کہتا کہ اس کے اندر کون سی خدمات ہیں۔ ریپر اس چینل کو ایک کنفیگر شدہ فارورڈر بنا دیتا ہے، ایک سننے والے کے لیے، ایک منزل کی طرف۔ SSL VPN کے نام سے بکنے والی مصنوعات عام طور پر اسی بنیادی عنصر کے گرد ایک انٹرفیس، روٹ ٹیبل اور رسائی ماڈل شامل کرتی ہے۔ دونوں کو ملا دینا ہی کام کرنے والی سرنگ کو نیٹ ورک رسائی سمجھنے کی وجہ ہے۔

ایک سروس ریپر اصل میں کیا جوڑتا ہے

ریپر ایک مقامی پورٹ پر سنتا ہے اور جو آتا ہے اسے ایک کنفیگر شدہ منزل کی طرف بھیجتا ہے، چاہے وہ ہوسٹ اور پورٹ ہو یا مقامی پروگرام۔ اس منزل کو وہ منتخب کرتا ہے جس نے کنفیگریشن فائل لکھی ہے، ایک وقت میں ایک سننے والا۔ پیکیج انسٹال کرنے سے کوئی راستہ، کوئی ورچوئل انٹرفیس اور واضح طور پر درج نہ ہونے والی کسی چیز کے لیے کوئی رسائی پیدا نہیں ہوتی۔ پیکیج کی تفصیل سے پہلے کنفیگریشن پڑھیں، کیونکہ تفصیل استعمال کی ایک قسم کا احاطہ کرتی ہے اور فائل آپ کا۔

اس لیے ریپر کے بارے میں مفید سوال یہ نہیں کہ وہ انکرپٹ کرتا ہے یا نہیں، بلکہ یہ ہے کہ وہ جو زنجیر بناتا ہے اس کے ہر سرے پر کیا ہے۔

application -> local listener -> TLS connection -> remote listener -> configured backend

اس زنجیر کو مارکیٹنگ نام سے نہیں، کنفیگریشن سے پڑھیں۔ ہر تیر اپنے پتے اور اپنے رسائی قواعد والا الگ نیٹ ورک ہاپ ہے۔

TLS چینل کہاں ختم ہوتا ہے تلاش کریں

اگر ریپر TLS ختم کرتا ہے تو اس کے بعد جو بھی آگے بھیجتا ہے وہ نئے خواص والا نیا کنکشن ہے۔ اسٹریم کسی نجی حصے پر سادہ متن ہو سکتی ہے، یا اپنے اندر کوئی دوسرا محفوظ پروٹوکول لے جا سکتی ہے۔ بیک اینڈ کنفیگریشن پڑھے بغیر ان میں سے کوئی بھی فرض کرنا وہی طریقہ ہے جس سے لوگ اس نتیجے پر پہنچتے ہیں کہ بیرونی تہہ ایسے ڈیٹا کی حفاظت کرتی ہے جو اسے پھر کبھی نظر نہیں آتا۔ آگے بھیجے گئے ہاپ کو اپنے پتے اور پورٹ پر اپنا الگ معائنہ ملنا چاہیے۔

سننے والے اور بیک اینڈ کو الگ الگ جانچیں، کیونکہ سامنے کے دروازے پر کامیاب ہونے والا ہاتھ ملانا اس کے پیچھے کی خدمت کے بارے میں کچھ نہیں کہتا۔

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

پہلا کمانڈ دکھاتا ہے کہ کون سا عمل پورٹ کا مالک ہے اور کس پتے پر سنتا ہے۔ دوسرا وہ سرٹیفکیٹ چھاپتا ہے جو کلائنٹ کو واقعی ملتا ہے، اور یہی وہ شناخت جانچ ہے جسے پورٹ نمبر بدل نہیں سکتا۔

روٹڈ VPN کیا شامل کرتا ہے جو ریپر نہیں کرتا

روٹڈ VPN ایک انٹرفیس انسٹال کرتا ہے، منتخب کردہ سابقوں کی ملکیت لیتا ہے اور ہوسٹ کی روٹنگ اور رسائی پالیسی کے ساتھ ضم ہوتا ہے۔ مشین پر ہر ایپلیکیشن سرنگ کے وجود کو جانے بغیر فائدہ اٹھاتی ہے۔ ریپر وہ رسائی ایک کنفیگر شدہ سننے والے کو دیتا ہے اور وہیں رک جاتا ہے۔

داخلہ اجازت پھر الگ ہے۔ کلائنٹ کی تصدیق کرنے والا VPN اب بھی ایسا اختیار چاہتا ہے جو بتائے کہ کلائنٹ کن وسائل تک پہنچ سکتا ہے، اور ساتھی کی تصدیق کرنے والا ریپر اب بھی ایسا بیک اینڈ چاہتا ہے جو اپنی اجازتیں نافذ کرے۔

ایک جائز امتزاج ہے: جان بوجھ کر معاونت یافتہ TCP ترتیب پر TLS ریپر کے اندر لے جایا جانے والا VPN پروٹوکول۔ یہ دو تہوں کو تہہ کرتا ہے، اور یہ ریپر اور VPN کو ایک ہی قسم کی چیز نہیں بناتا۔

ناکام ہونے والی حد کا موازنہ کریں

کچھ بھی بدلنے سے پہلے فرنٹ اینڈ پتہ، سننے والا، ساتھی کی شناخت، بیک اینڈ ہدف اور ایپلیکیشن عمل لکھ لیں۔ پھر موازنہ کے قابل کو موازنہ کے قابل سے موازنہ کریں: کسی دوسرے ہوسٹ نام یا پورٹ کے ذریعے کامیابی یہ ثابت نہیں کرتی کہ فائر وال اور سرٹیفکیٹ کی شرطیں یکساں تھیں۔

مسترد شدہ بیک اینڈ درخواست کو فرنٹ اینڈ شناخت کی تصدیق بند کر کے کبھی درست نہیں کرنا چاہیے۔ یہ ایک تشخیص کے قابل اجازت کی ناکامی کو ناقابل تشخیص اعتماد کی ناکامی سے بدل دیتا ہے۔

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

نام کو منتخب پتے پر پن کرنا نام کی حل کو رسائی سے الگ کرتا ہے، اور یہ عام طور پر یہ جاننے کا تیز ترین طریقہ ہے کہ دونوں میں سے کون خراب ہے۔

اہم موازنہ محفوظ سروں کے جوڑے، لے جایا جانے والا پے لوڈ، اسے استعمال کرنے والی ایپلیکیشنز اور منزل پر نافذ اجازت کا نام لیتا ہے۔ TLS اس تفصیل میں حصہ ڈالتا ہے، اسے مکمل کیے بغیر۔