TLS o’rami sizga xususiy tarmoq beradimi? Odatda yo’q

TLS ikki uch orasidagi kanalni himoya qiladi va uning ichida qaysi xizmatlar borligi haqida hech narsa aytmaydi. O’ram bu kanalni bitta sozlangan uzatgichga aylantiradi: bitta tinglovchi, bitta manzil. SSL VPN nomi bilan sotiladigan mahsulot odatda o’sha primitiv atrofida interfeys, marshrut jadvali va kirish modelini qo’shadi. Ikkalasini chalkashtirish ishlayotgan tunnelni tarmoqqa kirish deb xato tushunishning sababidir.

Xizmat o’rami aslida nimani bog’laydi

O’ram mahalliy portda tinglaydi va kelganini sozlangan manzilga uzatadi, u xost va port yoki mahalliy dastur bo’lishi mumkin. Bu manzilni konfiguratsiya faylini yozgan kishi tanlaydi, bir vaqtda bitta tinglovchi. Paketni o’rnatish hech qanday marshrut, virtual interfeys yoki aniq sanab o’tilmagan narsaga yetib borish imkonini yaratmaydi. Konfiguratsiyani paket tavsifidan oldin o’qing, chunki tavsif foydalanish sinfini qamrab oladi, fayl esa siznikini.

Shuning uchun o’ram haqidagi foydali savol u shifrlaydimi degani emas, balki u quradigan zanjirning har bir uchida nima turgani.

application -> local listener -> TLS connection -> remote listener -> configured backend

Bu zanjirni marketing nomidan emas, konfiguratsiyadan o’qing. Har bir o’q o’z manzili va o’z kirish qoidalariga ega alohida tarmoq qadamidir.

TLS kanali qayerda tugashini toping

Agar o’ram TLSni tugatsa, u keyin uzatadigan hamma narsa yangi xususiyatlarga ega yangi ulanishdir. Oqim xususiy segmentda oddiy matn bo’lishi yoki ichida boshqa himoyalangan protokol olib yurishi mumkin. Backend konfiguratsiyasini o’qimasdan ulardan birini taxmin qilish, odamlar tashqi qatlam o’zi boshqa ko’rmaydigan ma’lumotlarni himoya qiladi degan xulosaga kelish yo’lidir. Uzatilgan qadam o’z manzilida va portida o’z tekshiruviga loyiq.

Tinglovchi va backendni alohida tekshiring, chunki old eshikda muvaffaqiyatli qo’l berishish uning orqasidagi xizmat haqida hech narsa aytmaydi.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Birinchi buyruq port kimga tegishli ekanini va qaysi manzilda tinglayotganini ko’rsatadi. Ikkinchisi mijoz haqiqatda oladigan sertifikatni chop etadi, va bu port raqami almashtira olmaydigan shaxsni tekshirishdir.

Marshrutlangan VPN nima qo’shadi, o’ram nima qilmaydi

Marshrutlangan VPN interfeys o’rnatadi, tanlangan prefikslarga egalikni oladi va xostning marshrutlash va kirish siyosati bilan birlashadi. Mashinadagi har bir ilova tunnel borligini bilmasdan foyda oladi. O’ram bu qamrovni bitta sozlangan tinglovchiga beradi va shu yerda to’xtaydi.

Ruxsat yana alohida. Mijozni autentifikatsiya qiladigan VPN hali ham mijoz qaysi resurslarga yeta olishini aytadigan avtorizatsiyaga muhtoj, sherikni autentifikatsiya qiladigan o’ram esa hali ham o’z ruxsatlarini bajaradigan backendga muhtoj.

Qonuniy birikma bor: ataylab qo’llab-quvvatlanadigan TCP tartibida TLS o’rami ichida olib yuriladigan VPN protokoli. Bu ikki qatlamni ustma-ust qo’yadi va o’ram bilan VPNni bir xil turdagi obyekt qilmaydi.

Muvaffaqiyatsiz chegarani taqqoslang

Biror narsani o’zgartirishdan oldin old qism manzilini, tinglovchini, sherik shaxsini, backend maqsadini va ilova operatsiyasini yozib oling. Keyin taqqoslash mumkin bo’lganini taqqoslang: boshqa xost nomi yoki port orqali erishilgan muvaffaqiyat xavfsizlik devori va sertifikat shartlari bir xil bo’lganini isbotlamaydi.

Rad etilgan backend so’rovini old qism shaxs tekshiruvini o’chirish bilan hech qachon tuzatmaslik kerak. Bu aniqlanadigan avtorizatsiya xatosini aniqlanmaydigan ishonch xatosiga almashtiradi.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Nomni tanlangan manzilga qadash nom hal qilishni yetib borishdan ajratadi va odatda ikkisidan qaysi biri buzilganini bilishning eng tez yo’li shudir.

Muhim taqqoslash himoyalangan uchlar juftini, olib yurilgan yukni, undan foydalanadigan ilovalarni va manzilda qo’llaniladigan ruxsatni nomlaydi. TLS bu tavsifga hissa qo’shadi, lekin uni tugatmaydi.