VPN TLS so với IPsec: năm trường đáng xem xét

Xếp hạng VPN TLS với VPN IPsec theo họ giao thức trả lời một câu hỏi không ai đặt ra, và thường dẫn một cấu trúc mà cả hai họ đã từ bỏ nhiều năm trước. Điều người đánh giá thực sự có thể đánh giá là sự bảo vệ đã thương lượng, danh tính đối tác, mô hình máy khách và dịch vụ phơi bày. Bốn thứ đó hiện rõ trong một lần triển khai, và không thứ nào suy ra từ nhãn sản phẩm. Hãy hỏi năm trường và cuộc trò chuyện trở nên cụ thể.

Năm trường, và nhãn không phải một trong số đó

Trường đầu tiên là bản phát hành phần mềm được hỗ trợ, vì mô tả giao thức không có phiên bản chỉ là tờ quảng cáo. Trường thứ hai là phiên bản giao thức đã thương lượng, quyết định những cấu trúc nào thậm chí còn dùng được. Trường thứ ba là bộ bảo vệ, trường thứ tư là phương thức xác thực cho cả đối tác và người dùng, và trường thứ năm là phạm vi truy cập mà sản phẩm cấp sau khi được chấp nhận.

Nhãn VPN SSL bao trùm ít nhất ba sản phẩm khác nhau: một máy khách mạng đầy đủ, một proxy ứng dụng và một cổng cũ dựa trên trình duyệt. Chúng phơi bày các dịch vụ khác nhau và thất bại khác nhau, nên nhãn không thể thay thế trường phạm vi.

Mã hóa được xác thực thực sự thay đổi điều gì

TLS 1.3 yêu cầu mã hóa được xác thực, điều này loại bỏ cấu trúc MAC-then-encrypt cũ khỏi giao thức thay vì để nó tùy chọn. IPsec ESP đã có các bộ mã hóa được xác thực lâu chừng ấy, với AES-GCM được định nghĩa trong RFC riêng. Ở cả hai họ, bảo đảm đến từ bộ đã thương lượng chứ không phải tên họ, đó là lý do danh sách trường bắt đầu bằng một phiên bản. Người đánh giá không gọi được tên bộ thì không có gì để đánh giá.

Đó là lý do so sánh lịch sử gây nhầm lẫn. Một triển khai bị ghim vào phiên bản TLS cũ với bộ CBC và một triển khai chạy TLS 1.3 với bộ AEAD không cùng tư thế bảo mật, dù cả hai đều là VPN TLS. Sự chia tách tương tự tồn tại ở phía IPsec giữa một bộ ESP hiện đại và một tổ hợp cũ.

Hãy đọc các giá trị đã thương lượng thay vì cấu hình bạn định dùng. Các lệnh dưới đây cho thấy một điểm cuối đang chạy và một đường hầm đang chạy thực sự đã đồng ý điều gì.

openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sas

Nếu điểm cuối không chịu thương lượng TLS 1.3, đó là một phát hiện chứ không phải sở thích. Nếu đường hầm liệt kê một bộ bạn không lường trước, cấu hình quan trọng là cấu hình các đối tác đã chọn, không phải cấu hình trong mẫu.

Danh tính đối tác là một câu hỏi riêng

Mã hóa không có đối tác đã xác minh bảo vệ lưu lượng khỏi người quan sát và trao nó cho bất kỳ ai đã trả lời kết nối. Xác thực đối tác hỏi danh tính nào được mong đợi, vật liệu tin cậy nào xác nhận nó, và máy khách hành xử thế nào khi câu trả lời không khớp. Chuỗi chứng chỉ, khóa được ghim và bí mật chia sẻ trước là ba câu trả lời khác nhau với ba chi phí vận hành khác nhau.

Sau đó hỏi những câu tương tự về người dùng hoặc thiết bị. Một cổng xác thực máy và chấp nhận bất kỳ người dùng nào, hoặc ngược lại, có một tư thế cụ thể nên được ghi ra thay vì giả định. Quyền tài nguyên áp dụng sau khi được chấp nhận là một phần của cùng trường đó, vì xác thực không phải là ủy quyền.

Giữ các kiểm tra tên máy chủ và chứng chỉ quan trọng hơn sự quen thuộc của cửa sổ đăng nhập. Một máy khách được cấu hình bỏ qua xác minh đã loại bỏ bước duy nhất phân biệt cổng của bạn với một bản sao đáng tin.

Ranh giới mà sản phẩm phơi bày

Một cổng không cần máy khách ủy nhiệm các thao tác ứng dụng được chọn qua cổng, nên người dùng đến một giao diện thay vì một mạng. Một máy khách đường hầm đầy đủ mang theo những gì tuyến và chính sách lọc của nó chọn, một bề mặt lớn hơn nhiều. So sánh hai bên theo độ mạnh giao thức bỏ qua khác biệt về những gì kẻ tấn công có thể chạm tới qua chúng. Một bên phơi bày giao diện ứng dụng, bên kia phơi bày mạng được định tuyến, và hai bên đòi hỏi những lần xem xét khác nhau.

Hãy hỏi dịch vụ nào bị phơi bày, thao tác nào được ủy quyền và chính cổng đang lắng nghe điều gì. Một giao diện quản trị truy cập được từ cùng địa chỉ với cổng người dùng là một phát hiện triển khai, và không lựa chọn giao thức nào bù đắp được điều đó.

Phạm vi theo từng ứng dụng thu hẹp bề mặt hơn nữa, và cũng thay đổi hành vi khi lỗi nếu đường hầm sụp. Một thiết kế giả định phạm vi đường hầm đầy đủ sẽ vỡ theo cách thiết kế theo ứng dụng không gặp, và gánh nặng hỗ trợ theo sau.

Quyết định kết cục khi lỗi và vòng đời

Điều gì xảy ra khi xác thực hoặc bảo vệ không khả dụng là một quyết định chính sách thuộc về phần xem xét. Một kết cục bị chặn và một lần quay lui trực tiếp không được báo trước có hậu quả khác nhau, và khác biệt đó vô hình trong danh sách tính năng. Hãy nêu hành vi dự kiến bên cạnh tài nguyên mà nó bảo vệ.

Bao gồm vòng đời vá lỗi và hỗ trợ của cổng, các tính năng bên ngoài được bật và đường cập nhật cho máy khách. Một lựa chọn giao thức đúng không làm cho dịch vụ triển khai tồi trở nên an toàn, và hầu hết sự cố sống trong khoảng trống đó chứ không phải trong bộ thuật toán.

Hãy viết năm trường, chính sách lỗi và người sở hữu vòng đời vào một trang. Trang đó là một lần xem xét; so sánh các họ giao thức là một ý kiến.