SSL VPN yoki TLS o'rami? Muvaffaqiyatsiz bo'lgan chegarani solishtiring

Ikki loyiha 443 portida TLS ishlatib, bu bilan butunlay boshqa narsalarni anglatishi mumkin. O'ram mahalliy port va uzoq backend o'rtasidagi bitta sozlangan ulanishni himoya qiladi. Tarmoqqa kirish loyihasi tanlangan trafikni tashiydi va mijoz qayerga yeta olishini o'zgartiradi. Quyidagi to'rt tekshiruvni tartib bilan bajaring va qaysi birini ko'rayotganingizni bilib olasiz, bu odatda qaysi qatlam muvaffaqiyatsiz bo'lganini bilish uchun yetarli.

Haqiqatan sozlagan ulanishdan boshlang

Mahsulotlarni solishtirishdan oldin old va orqa tomonni yozib oling. O'ram mahalliy manzilda tinglaydi va uzoq manzilga uzatadi yoki uzoq tomonda dastur ishga tushiradi, va bu juftlik uning butun shartnomasi. Mijozning boshqa ilovalari bu haqda hech narsa bilmaydi, agar siz ularni unga qaratsangiz. Bu asbobning kamchiligi emas, asbob aynan shu uchun.

Tarmoq loyihasining shartnomasi boshqacha va u port juftida emas, marshrutlar va siyosatda ifodalanadi.

Shu ikki ta'rifdan qaysi biri chizmangizga mos kelishiga e'tibor bering. Javob o'rtasida sertifikat bo'lgan bitta port xaritasi bo'lsa, mahsulot nomi VPN desa ham sizda o'ram bor. Javob tunnel interfeysi va marshrut o'zgarishlari bo'lsa, u 443 da ishlasa ham sizda tarmoq loyihasi bor.

O'ram nimaga ulanashini tekshiring

Tinglash va ulanish sozlamalarini o'qing va ularni haqiqiy backendgacha kuzatib boring. Ma'lumotlar bazasi portiga uzatuvchi o'ram veb-ilovani ochmaydi, dastur ishga tushiruvchi o'ram esa xost ishlatadigan qolgan hamma narsani e'lon qilish o'rniga o'sha dasturni ishga tushiradi. Backend — o'ram biladigan yagona narsa.

Keyin TLS tugagach uzatilayotgan oqim oddiy matnmi yoki yo'qmi, qaror qiling. O'ralgan ulanish ikki o'ram orasidagi qismni himoya qiladi, uzoq o'ramdan keyin nima bo'lishi esa alohida savol. Shuning uchun o'z himoyasiga ega narsani o'rash ba'zan oqilona, ba'zan esa faqat ortiqcha harakatlanuvchi qismlar. Ikki javobdan birini taxmin qilish o'rniga keyingi qadamni tekshiring.

openssl s_client -connect wrapper.lab.example:443 -servername wrapper.lab.example -verify_return_error
sudo ss -ltnp | grep 443

Birinchi buyruq mijozga haqiqatan taklif etiladigan sertifikatni ko'rsatadi, ikkinchisi xostda nima tinglayotganini ko'rsatadi. Boshqa narsani o'qishdan oldin o'sha sertifikat nomini kutgan nomingiz bilan solishtiring.

Loyiha qaysi trafikni tashishini tekshiring

Tarmoqqa kirish loyihalari tanlangan trafikni tashiydi va mijozning marshrutlash va kirish siyosati bilan birlashadi. Qabul qilish ruxsat emas, shuning uchun autentifikatsiyalangan ulanish ham qaysi resurslarga yeta olishi haqida qarorga muhtoj. Mijozi yo'q portal uchinchi model bo'lib, qo'llab-quvvatlanadigan amallarni proksi qiladi, ammo hech qachon tun interfeysi sifatida ko'rinmaydi.

Mahsulot yorlig'i bu modellardan qaysi birini sotib olganingizni aytmaydi, port raqami esa undan ham kamroq aytadi.

Qatlamlash mumkin va u solishtirishni chalkashtirmasligi kerak. Tunnel protokoli o'zi qo'llab-quvvatlanadigan TCP tartibida TLS bilan o'ralishi mumkin, bu tunnel atrofida qatlam qo'shadi, o'ramni tunnelga aylantirmaydi. Bu o'z unumdorlik va nosozlik xatti-harakatiga ega dizayn qarori va chizmada bir satrga loyiq. Uni yozib qo'ying, keyin tashqi o'ramni emas, asosiy modellarni solishtiring.

Muvaffaqiyatsiz chegarani tekshiring, yorliqni emas

Bitta muvaffaqiyatsiz urinishning faktlarini yozing: old tomon manzili, tinglovchi, mijoz tekshirgan shaxs, backend maqsadi va so'ralgan amal. Muvaffaqiyatli qo'l siqish tashqi TLS tugaganini isbotlaydi va backend haqida hech narsa aytmaydi. Backend rad etishi old tomondagi shaxs nosozligidan boshqa hodisa, va ikkalasi ham mijozdan -verify_return_error olib tashlash bilan yaxshilanmaydi. O'xshashni o'xshash bilan solishtiring, chunki boshqa xost nomi yoki port orqali erishilgan muvaffaqiyat shartlar bir xil bo'lganini ko'rsatmaydi.

443 porti TLS ni oraliq qutilardan o'tkazadigan konvensiya. U o'zboshimchalik trafikni siyosat qurilmasi uchun veb-so'rovga o'xshatmaydi.

Yakuniy juftlik, nima tashilishi, qaysi ilovalar undan foydalanishi va manzil qanday ruxsatni talab qilishini nomlaydigan bitta gap bilan yakunlang. O'sha to'rt bo'sh joyni to'ldira olmaydigan loyiha, yorlig'i nima da'vo qilsa ham, tugallanmagan. O'sha gap loyihani xavfsizlik devori egasiga tushuntirishning eng tez usuli hamdir.