Ṣé wrapper TLS fún ọ ní nẹ́tíwọ́ọ̀kì àdáni? Ní gbogbogbòò rárá

TLS ń dáàbò bo ọ̀nà kan láàárín ìparí méjì kò sì sọ ohunkóhun nípa àwọn iṣẹ́ tí ó wà nínú rẹ̀. Wrapper yí ọ̀nà yẹn padà sí olùtọ́jú kan tí a ṣètò, fún olùgbọ́ kan, sí ibi-afẹ́de kan. Ọjà tí a ń tà gẹ́gẹ́ bí SSL VPN máa ń fi àkópọ̀ ojú, tábìlì ọ̀nà àti àwòrán ìwọlé kún àyíká ipilẹ̀ kan náà. Dídàpọ̀ àwọn méjèèjì ni ìdí tí a fi ń gbà ọ̀nà tí ń ṣiṣẹ́ gẹ́gẹ́ bí ìwọlé nẹ́tíwọ́ọ̀kì.

Kí ni wrapper iṣẹ́ ń so pọ̀ ní tòótọ́

Wrapper ń gbọ́ ní ibùdó ìbílẹ̀ kan ó sì ń tọ́ ohun tí ó dé lọ sí ibi-afẹ́de tí a ṣètò, yálà ẹrọ àti ibùdó tàbí ètò ìbílẹ̀. Ẹni tí ó kọ fáìlì ìṣètò ni ó yan ibi-afẹ́de yẹn, olùgbọ́ kan ní ẹ̀ẹ̀kan. Fífi pákéjì sórí kò dá ọ̀nà kankan, ojú ẹrọ àròyé tàbí àǹfààní láti dé ohunkóhun tí a kò tò sílẹ̀ ní kedere. Ka ìṣètò kí o tó ka àpèjúwe pákéjì, nítorí àpèjúwe bo ẹ̀ka ìlò kan ṣùgbọ́n fáìlì bo tìrẹ.

Nítorí náà ìbéèrè tí ó wúlò nípa wrapper kì í ṣe bóyá ó ń ṣe àkọsílẹ̀, bí kò ṣe ohun tí ó wà ní ìparí kọ̀ọ̀kan ẹ̀wọ̀n tí ó ń kọ́.

application -> local listener -> TLS connection -> remote listener -> configured backend

Ka ẹ̀wọ̀n yẹn láti inú ìṣètò kì í ṣe láti orúkọ ọjà. Gbogbo ọfà ni ìfò nẹ́tíwọ́ọ̀kì ọ̀tọ̀ọ̀tọ̀ pẹ̀lú àdírẹ́sì rẹ̀ àti àwọn òfin ìwọlé rẹ̀.

Wá ibi tí ọ̀nà TLS ti parí

Bí wrapper bá parí TLS, ohunkóhun tí ó ń tọ́ síwájú jẹ́ ìsopọ̀ tuntun pẹ̀lú àwọn ànímọ́ tuntun. Ìṣàn náà lè jẹ́ ọ̀rọ̀ tààrà lórí ẹ̀ka àdáni, tàbí ó lè gbé ìlànà ààbò mìíràn nínú rẹ̀. Lílágbára ọ̀kan nínú àwọn méjèèjì láìka ìṣètò backend jẹ́ ọ̀nà tí àwọn ènìyàn fi ń dé ìparí pé ìpele ode ń dáàbò bo dátà tí kò tún rí mọ́. Ìfò tí a tọ́ síwájú yẹ kí ó ní àyẹ̀wò tirẹ̀, lórí àdírẹ́sì àti ibùdó tirẹ̀.

Yẹ olùgbọ́ àti backend wò lọ́tọ̀ọ̀tọ̀, nítorí ìfọwọ́sowọ́pọ̀ tí ó ṣàṣeyọrí ní ẹnu-ọ̀nà iwájú kò sọ ohunkóhun nípa iṣẹ́ tí ó wà lẹ́yìn rẹ̀.

ss -ltnp | grep -F 443
openssl s_client -connect svc.example.net:443 -servername svc.example.net </dev/null | openssl x509 -noout -subject -dates

Àṣẹ àkọ́kọ́ fi hàn ìlànà tí ó ni ibùdó àti àdírẹ́sì tí ó ń gbọ́. Èkejì tẹ̀ ẹ̀rí tí oníbàárà ń gbà ní tòótọ́ jáde, èyí sì ni àyẹ̀wò ìdánimọ̀ tí nọ́mbà ibùdó kò lè rọ́pò.

Kí ni VPN tí a tọ́ sọ́nà ń fi kún tí wrapper kò ṣe

VPN tí a tọ́ sọ́nà ń fi ojú ẹrọ sórí, ó ń gba ìní àwọn àkọ́kọ́ tí a yàn ó sì ń darapọ̀ mọ́ ìtọ́sọ́nà àti ìlànà ìwọlé ẹrọ. Gbogbo ohun èlò lórí ẹrọ ń jàǹfààní láì mọ̀ pé ọ̀nà wà. Wrapper ń fi ìdé yẹn fún olùgbọ́ kan tí a ṣètò ó sì dúró níbẹ̀.

Gbígba wọlé tún jẹ́ ọ̀rọ̀ ọ̀tọ̀. VPN tí ó ń jẹ́rìí oníbàárà ṣì nílò àṣẹ tí ó sọ irú àwọn ohun àmúṣọrọ̀ tí oníbàárà lè dé, wrapper tí ó ń jẹ́rìí alábàákẹ́gbẹ́ ṣì nílò backend tí ó ń fi àwọn ìyọ̀ǹda tirẹ̀ ṣiṣẹ́.

Àkópọ̀ tí ó bófin mu wà: ìlànà VPN tí a gbé nínú wrapper TLS lórí ìṣètò TCP tí a ti mọ̀ọ́mọ̀ ṣe àtìlẹ́yìn fún. Ìyẹn ń kó ìpele méjì jọ, kò sì sọ wrapper àti VPN di irú ohun kan náà.

Fi ààlà tí ń kùnà wé

Kọ àdírẹ́sì iwájú, olùgbọ́, ìdánimọ̀ alábàákẹ́gbẹ́, ibi-afẹ́de backend àti ìgbésẹ̀ ohun èlò sílẹ̀ kí o tó yí ohunkóhun padà. Lẹ́yìn náà fi ohun tí ó ṣeé fi wéwé wé pẹ̀lú ohun tí ó ṣeé fi wéwé: àṣeyọrí nípasẹ̀ orúkọ ẹrọ tàbí ibùdó mìíràn kò fi hàn pé àwọn ipò odi iná àti ẹ̀rí jẹ́ ọ̀kan náà.

Ìbéèrè backend tí a kọ̀ kò gbọdọ̀ ní àtúnṣe nípasẹ̀ pípà ìjẹ́rìí ìdánimọ̀ iwájú. Ìyẹn ń pààrọ̀ ìkùnà àṣẹ tí a lè ṣàyẹ̀wò fún ìkùnà ìgbẹ́kẹ̀lé tí a kò lè ṣàyẹ̀wò.

curl -sv --resolve svc.example.net:443:203.0.113.10 https://svc.example.net/health 2>&1 | head -30

Pípa orúkọ mọ́ àdírẹ́sì tí a yàn ń ya ìyédá orúkọ kúrò nínú àǹfààní dé, èyí sì sábà jẹ́ ọ̀nà tí ó yára jùlọ láti mọ èwo nínú àwọn méjèèjì tí ó ti bàjẹ́.

Ìfiwéwé tí ó ṣe pàtàkì ń dárúkọ ẹgbẹ́ ìparí tí a dáàbò bo, ẹrù tí a gbé, àwọn ohun èlò tí ó ń lò ó àti àṣẹ tí a ń fi ṣiṣẹ́ ní ibi-afẹ́de. TLS ń ṣe àfikún sí àpèjúwe yẹn láìparí rẹ̀.