Bir endüstriyel tesiste uzaktan erişimin önündeki en büyük engel teknik değil, politiktir: BT ekipleri güvenlik duvarında yeni port açmak istemez. Bridconn bu gerçeğe göre tasarlandı. Cihaz, tesisteki mevcut internet erişimiyle, hiçbir kural eklenmeden çalışacak şekilde kurgulandı.
TCP 443 nedir?
443, HTTPS'in yani şifreli web trafiğinin standart portudur. Tarayıcınız bir siteye bağlanırken kullandığı yol budur. Bu yüzden hemen her kurumsal ağda, dışarıya doğru açıktır.
Ne gerekmez?
- Gelen (inbound) port ya da port yönlendirme
- VPN sunucusu ya da VPN istemcisi yapılandırması
- Müşteri modeminde özel ayar
Bağlantıyı her zaman cihaz başlatır. Dışarıdan cihaza yeni bağlantı kabul edilmez; cihaz kendi güvenlik duvarıyla bunu engeller ve UPnP ile modemde kendiliğinden port açmaz.
Nasıl uyguluyoruz?
Sunucumuzun 443 portunda gelen TLS bağlantılarına, bağlantının hangi sunucu adı için yapıldığına bakılarak (SNI) ilgili hizmete yönlendirilir: cihaz kontrol kanalı, röle ve bağlantı koordinasyonu aynı porttan sunulur. Cihaz kimliği, TLS içinde istemci sertifikasıyla (mTLS) doğrulanmaya devam eder; yani 443'e inmek güvenlikten ödün vermek anlamına gelmez.
- Bridconn cihazı
- Giden TCP 443 (TLS)
- Sunucuda SNI ile yönlendirme
- İlgili hizmet
Bu bağlantı, bir yedek hat merdiveninin son basamağıdır. Ağ doğrudan UDP trafiğine izin veriyorsa Bridconn daha hızlı yolları kullanır; yalnızca 443 açıksa bağlantı yine kurulur. Merdiven ayrıntıları “Bağlantı sürekliliği” makalesinde anlatılıyor.
Dikkat edilecek noktalar
- DNS ve saat senkronizasyonu için ağınızın kendi servisleri kullanılır.
- TLS denetimi (SSL inspection) yapan güvenlik duvarlarında Bridconn alan adlarının denetim dışı bırakılması gerekir; cihaz kimliği sertifikayla doğrulandığı için araya giren bir denetim bağlantıyı bozar.