Có thể tạo tường lửa chỉ cho phép lưu lượng truy cập máy chủ web hợp pháp trên cổng 443 chứ không phải bất kỳ dịch vụ nào khác không?

Tôi luôn sử dụng thủ thuật đơn giản để vượt qua hầu hết các tường lửa ngăn tôi sử dụng bất kỳ cổng nào. Tôi chỉ đơn giản mở ssh trên một trong các máy chủ của tôi trên cổng 443 và tạo đường hầm cho tất cả lưu lượng truy cập qua đó.

Tuy nhiên bây giờ tôi đang ở trên một mạng có tường lửa mà tôi chưa từng thấy trước đây và tôi thậm chí không biết điều đó là có thể.

Trên mạng này, bạn chỉ có thể sử dụng cổng 443 cho lưu lượng máy chủ web hợp pháp. Nếu tôi mở ssh, hoặc bất cứ thứ gì khác trên cổng 443 và cố gắng kết nối ở đó từ mạng này, nó sẽ bị giết ngay lập tức. Nếu tôi bắt đầu apache trên máy chủ đó, nó hoạt động.

Làm thế nào là điều này thậm chí có thể? Có một số tường lửa siêu tinh vi thậm chí có thể phân tích lưu lượng được mã hóa để xác minh đó là lưu lượng https hợp pháp không? Làm sao?

Có, và họ không cần bất kỳ phép thuật nào ở đây, chỉ cần kết hợp tầm thường trên nội dung gói TCP. Mặc dù SSH và TLS (SSL) mã hóa tải trọng của chúng , bản thân các tiêu đề giao thức vẫn có thể phân biệt và rất khác nhau. Ví dụ: kết nối SSHv2 luôn bắt đầu với ứng dụng khách gửi SSH-2.0-(client name and version). Tương tự, mặc dù tường lửa của bạn thực sự không thể biết liệu kết nối TLS có mang HTTP bên trong hay không, nó có thể nhận ra chính TLS hay không .

Việc kiểm tra các lớp trên TCP thường nằm trong "Kiểm tra gói sâu", một tính năng tương đối phổ biến.

Một cách rõ ràng để bỏ qua điều này là tạo đường hầm SSH bên trong TLS - ví dụ: sử dụng stunnel, haproxy hoặc sniproxy. (Ngoài đường hầm đơn giản, nơi cổng 443 được dành riêng cho SSH-over-TLS, họ cũng có thể ghép nhiều giao thức SSH / HTTP / các giao thức khác trên cùng một cổng dựa trên SNI và ALPN.)

Mặc dù điều này sẽ không luôn đánh bại phân tích lưu lượng thực sự tinh vi, nhưng nó vẫn sẽ bỏ qua hầu hết các bộ lọc mà chỉ kiểm tra "xem nó có giống như tiêu đề TLS không".

Và sau đó là loại tường lửa gây phiền nhiễu - những loại chặn TLS để giải mã và mã hóa lại tất cả lưu lượng. Chúng thực sự có thể nhìn thấy bên trong TLS và có thể chuyển các yêu cầu HTTP trong khi chặn mọi thứ khác. (Lưu ý rằng một số chương trình chống vi-rút cũng làm điều tương tự.) Bạn có thể nhận ra loại này bằng cách xem chứng chỉ máy chủ; tất cả các chứng chỉ được tạo bằng proxy trông giống nhau và thường không vượt qua xác thực, trong khi các chứng chỉ thực được cấp bởi nhiều CA khác nhau.