Ommaviy proksi VPN orqali shaxsiy manbaga qanday yetib boradi

Saytni tunnel orqali nashr etish va foydalanuvchilarga VPN kirishini berish bir kabelni bo'lishadigan ikki xil tartibdir. Birinchisida, ommaviy teskari proksi tashrif buyuruvchining so'rovini qabul qiladi va uni tunnel orqali hech kim to'g'ridan-to'g'ri yetib bora olmaydigan manbaga yuboradi. Ikkinchisida, foydalanuvchi ilova umuman ochiq bo'lishidan oldin VPNga qo'shilishi kerak. Bu ikki tavsifni aralashtirish — shaxsiy backend oxir-oqibat ommaviy ravishda oshkor bo'lishining yo'li.

Diagrammada bir xil ko'rinadigan ikki model

Biror narsa tanlashdan oldin o'qlarni chizing. Ommaviy nashr modeli brauzerdan proksiga HTTPS orqali, so'ngra proksidan manbaga tunnel orqali boradi va manba hech qachon internetdan ulanish qabul qilmaydi. Faqat VPN modeli mijozdan shlyuzga boradi va ilova faqat shu yo'lning ichidan ochiq bo'ladi. Foydalanuvchining noutbuki ilova bilan bir tarmoqda o'tiradi va bu o'sha modelning butun ma'nosi.

Modellar kim autentifikatsiya qilishi va qayerda qilishi bilan farq qiladi. Birinchisida proksi ommaviy kirish bo'lib, unga sozlangan siyosatga muvofiq kelgan har qanday so'rovni, jumladan dushmanona so'rovni ham uzatadi. Ikkinchisida ochiqlikning o'zi darvoza bo'lib, bu qo'pol, ammo haqiqiy qabuldir.

TLS qayerda to'xtaydi va u aslida nimani isbotlaydi

Brauzer va proksi o'rtasidagi TLS o'sha sakrashni himoya qiladi va brauzerga u tashrif buyurmoqchi bo'lgan saytni tekshirish imkonini beradi. Agar proksi TLSni tugatsa, so'rov uzatilishidan oldin o'sha jarayon ichida o'qiladigan shaklda mavjud bo'ladi. Manbaga ikkinchi TLS sessiyasi keyingi sakrashni himoya qilishi va ilovaning oxirgi nuqtasini alohida tekshirishi mumkin. Ikkala sessiya ham qaysi inson ilovadan foydalanishi mumkinligini hal qilmaydi. Proksidagi wildcard sertifikati ham o'sha ikkinchi sakrashga taalluqli emas.

Bu odamlar shifrlangan so'ziga jamlaydigan qism. Maxfiylik, yaxlitlik va server identifikatsiyasi transport xususiyatlaridir; avtorizatsiya esa ilova qaroridir. Tunnel orqasidagi shaxsiy manzil kim soketga yetib borishi mumkinligini o'zgartiradi, yetib borgandan keyin kim kira olishini emas.

Yo'naltirilgan sarlavhalarga faqat proksidan ishoning

Mijoz manzili bo'yicha jurnal yuritadigan yoki avtorizatsiya qiladigan ilovalar odatda proksi qo'shadigan sarlavhani o'qiydi. Bu sarlavha shunchaki matn, shuning uchun manbaga to'g'ridan-to'g'ri yetib bora oladigan har qanday narsa istalgan manzilni da'vo qilishi mumkin. Manbani faqat proksining tunnel manzili ulanishi mumkin bo'ladigan qilib cheklang va ilovani sarlavhani faqat shu manzildan qabul qilishga sozlang.

curl -s -o /dev/null -w '%{http_code}
' -H 'X-Forwarded-For: 203.0.113.9' http://172.20.5.40/

Agar bu so'rov proksi bo'lmagan xostdan muvaffaqiyatli o'tsa, manba e'tiborsiz qoldirishi kerak bo'lgan sarlavhaga ishonmoqda. Ilovaga tegishdan oldin tinglovchini tuzating. Rad etish soxta manzil olib yurgan jurnal satridan ancha yaxshi natijadir.

Manbani aynan bitta joydan ochiq tuting

Manbaning tinglovchisini tunnel manziliga bog'lang yoki uni proksiga qarab tarmoq devori bilan o'rang, so'ngra aslida nima tinglayotganini tasdiqlang. Wildcard bog'lanish bilan ishga tushirilgan xizmat xostda mavjud har bir interfeysda ulanish qabul qiladi, hatto marshrutlanishi mumkinligini unutganingizda ham. Tinglash jadvali asosiy haqiqatdir, siz qo'llamoqchi bo'lgan konfiguratsiya fayli emas. Agar wildcard bog'lanish qasddan bo'lsa, tarmoq devori baribir uni toraytiruvchi komponent bo'lishi kerak.

ss -ltnp | grep -E ':(80|443)'

Boshqaruv interfeyslari uchun ham xuddi shu ko'rib chiqishni qiling, tasodifiy oshkor bo'lish odatda o'sha yerda bo'ladi. So'ngra ikki modelni alohida yozing: proksi orqali ommaviy sayt va faqat tunnel orqali ochiq administratsiya interfeysi. Server VPN orqasida degan jumla bulardan hech narsa demaydi.