TLS VPN va IPsec: ko'rib chiqishga arziydigan besh maydon
TLS VPN va IPsec VPNni chiqarilish, protokol versiyasi, to'plam, hamkor identifikatori va ochiq qamrov bo'yicha, shuningdek siz haqiqatda sozlagan nosozlik natijasi bo'yicha solishtiring.
TLS VPNlarni IPsec VPNlar bilan protokol oilasi bo'yicha saralash hech kim so'ramagan savolga javob beradi va odatda ikkala oila ham yillar oldin tashlab ketgan konstruksiyani keltiradi. Taqrizchi haqiqatan baholay oladigan narsa — kelishilgan himoya, hamkor identifikatori, mijoz modeli va ochiq xizmat. Bu to'rt narsa joylashtirishda ko'rinadi va hech biri mahsulot yorlig'idan kelib chiqmaydi. Besh maydon so'rang va suhbat aniq bo'ladi.
Besh maydon, yorliq esa ulardan biri emas
Birinchi maydon — qo'llab-quvvatlanadigan dasturiy ta'minot chiqarilishi, chunki versiyasiz protokol tavsifi broshyuradir. Ikkinchisi — kelishilgan protokol versiyasi, u qaysi konstruksiyalar umuman mavjudligini hal qiladi. Uchinchisi — himoya to'plami, to'rtinchisi — hamkor va foydalanuvchi uchun autentifikatsiya usuli, beshinchisi — qabuldan keyin mahsulot beradigan kirish qamrovi.
SSL VPN yorlig'i kamida uch xil mahsulotni qamrab oladi: to'liq tarmoq mijozi, ilova proksisi va brauzerga asoslangan eski portal. Ular turli xizmatlarni ochadi va turlicha ishlamay qoladi, shuning uchun yorliq qamrov maydonini almashtira olmaydi.
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
Autentifikatsiyalangan shifrlash aslida nimani o'zgartiradi
TLS 1.3 autentifikatsiyalangan shifrlashni talab qiladi, bu eski MAC-then-encrypt konstruksiyasini protokoldan olib tashlaydi, uni ixtiyoriy qoldirmaydi. IPsec ESPda ham shuncha vaqtdan beri autentifikatsiyalangan shifrlash to'plamlari bor, AES-GCM o'z RFCsida belgilangan. Ikkala oilada ham kafolat oila nomidan emas, kelishilgan to'plamdan keladi, shuning uchun maydonlar ro'yxati versiyadan boshlanadi. To'plamni ayta olmaydigan taqrizchining baholaydigan hech narsasi yo'q.
Shuning uchun tarixiy taqqoslash chalg'itadi. Eski TLS versiyasiga CBC to'plami bilan bog'langan joylashtirish va TLS 1.3ni AEAD to'plami bilan ishlatadigan joylashtirish bir xil xavfsizlik holati emas, ikkalasi ham TLS VPN bo'lsa ham. Xuddi shu bo'linish IPsec tomonida zamonaviy ESP to'plami va eski kombinatsiya o'rtasida ham bor.
Siz o'ylagan konfiguratsiyani emas, kelishilgan qiymatlarni o'qing. Quyidagi buyruqlar ishlab turgan oxirgi nuqta va ishlab turgan tunnel aslida nima bo'yicha kelishganini ko'rsatadi.
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasAgar oxirgi nuqta TLS 1.3 bo'yicha kelishishni xohlamasa, bu topilma, afzallik emas. Agar tunnel siz kutmagak to'plamni sanasa, muhim konfiguratsiya hamkorlar tanlagani, shablondagisi emas.
Hamkor identifikatori — alohida savol
Tekshirilmagan hamkorsiz shifrlash trafikni kuzatuvchilardan himoya qiladi va uni ulanishga javob bergan odamga topshiradi. Hamkor autentifikatsiyasi qaysi identifikator kutilayotganini, qaysi ishonch materiali uni tasdiqlashini va javob mos kelmasa mijoz qanday yo'l tutishini so'raydi. Sertifikatlar zanjiri, qotirilgan kalit va oldindan bo'lishilgan sir — uch xil javob, uch xil operatsion xarajat bilan.
Keyin foydalanuvchi yoki qurilma haqida xuddi shu savollarni bering. Mashinani autentifikatsiya qilib, har qanday foydalanuvchini qabul qiladigan shlyuz yoki aksincha, yozib qo'yilishi kerak bo'lgan, taxmin qilinmaydigan muayyan holatga ega. Qabuldan keyin qo'llaniladigan resurs ruxsatlari bir xil maydonga kiradi, chunki autentifikatsiya avtorizatsiya emas.
Xost nomi va sertifikat tekshiruvlarini saqlash kirish oynasining tanishligidan muhimroq. Tekshiruvni e'tiborsiz qoldirishga sozlangan mijoz shlyuzingizni ishonchli taqliddan ajratadigan yagona qadamni olib tashladi.
Mahsulot ochadigan chegara
Mijozsiz portal tanlangan ilova operatsiyalarini shlyuz orqali proksilaydi, shuning uchun foydalanuvchi tarmoqqa emas, interfeysga yetib boradi. To'liq tunnelli mijoz o'z marshrutlari va filtrlash siyosati tanlagan narsani olib yuradi, bu esa ancha katta yuza. Ikkalasini protokol kuchi bo'yicha taqqoslash hujumchi ular orqali nimaga yetishi mumkinligidagi farqni o'tkazib yuboradi. Biri ilova interfeysini, ikkinchisi marshrutlangan tarmoqni ochadi va ikkalasi ham boshqa ko'rikni talab qiladi.
Qaysi xizmat ochiq, qaysi operatsiyalar ruxsat etilgan va shlyuzning o'zi nimani tinglayotganini so'rang. Foydalanuvchi portali bilan bir xil manzildan yetib boriladigan boshqaruv interfeysi — joylashtirish topilmasi va hech qanday protokol tanlovi buni qoplamaydi.
Ilova bo'yicha qamrov yuzani yanada toraytiradi va tunnel yiqilganda nosozlik xatti-harakatini ham o'zgartiradi. To'liq tunnel qamrovini taxmin qilgan loyiha ilova bo'yicha loyiha bilmaydigan yo'llar bilan buziladi va qo'llab-quvvatlash yuki davom etadi.
Nosozlik natijasi va hayot davrini hal qiling
Autentifikatsiya yoki himoya mavjud bo'lmaganda nima bo'lishi — ko'rikka tegishli siyosat qarori. Bloklangan natija va e'lon qilinmagan to'g'ridan-to'g'ri qaytish turli oqibatlarga olib keladi va farq funksiyalar ro'yxatida ko'rinmaydi. Ko'zda tutilgan xatti-harakatni u himoya qiladigan resurs yonida ko'rsating.
Shlyuzning yamoq va qo'llab-quvvatlash hayot davrini, faollashtirilgan tashqi funksiyalarini va mijozlar uchun yangilanish yo'lini qo'shing. To'g'ri protokol tanlovi yomon joylashtirilgan xizmatni xavfsiz qilmaydi va hodisalarning aksariyati o'sha bo'shliqda, to'plamda emas yashaydi.
Besh maydonni, nosozlik siyosatini va hayot davri egasini bitta sahifaga yozing. O'sha sahifa — ko'rik; protokol oilalarini taqqoslash — fikr.