VPN arxasında keş: HTTPS sizdən nəyi gizlədir

VPN serverinin yanında keş tunel arxasındakı hər kəs üçün pulsuz bufer kimi səslənir. Amma deyil, çünki həmin nöqtədən keçən baytlar ucları brauzer və vebsayt olan TLS sessiyası ilə qorunur. VPN şlüzü yalnız öz xarici şifrələməsini götürür, tətbiqinkini yox. Avadanlıq əlavə etməzdən əvvəl hansı təkrar obyekti yenidən istifadə etmək istədiyinizə qərar verin.

TLS sessiyası brauzerə məxsusdur

Adi HTTPS-də brauzer saytla açarlar üzərində razılaşır və handshake-dən sonrakı hər qeyd həmin uclar üçün şifrələnir. VPN şlüzü özünün yaratdığı tunnelin şifrəsini açır, sonra şəffaf TLS qeydlərini ötürür. O, təyinatları, vaxtı və həcmi görə bilir, sorğu sətrini və ya cavab gövdəsini yox. Hər hansı keşin yaşamalı olduğu sərhəd budur.

Bunu pozan hər hansı dizayn TLS müdaxiləsi dizaynıdır və öz sertifikat etimadı və cihaz idarəetməsi nəticələri var.

CONNECT keş deyil, tuneldir

Açıq irəli proxy adətən HTTP CONNECT sorğusu alır və sonra baytları hər iki istiqamətdə ötürür. Ötürmə əsas sözdür: proxy şifrələnmiş söhbəti təhlil etmir.

curl -sSI -x http://proxy.example:3128 https://example.com/

Cavab başlıqları səhifənin keşlənmiş surətindən deyil, proxy-nin tunelə baxışından gəlir. Uğurlu CONNECT yolun işlədiyini göstərir, nəyinsə təkrar istifadə üçün saxlandığını yox. 443 portunu keşə yönəltmək də ona TLS danışmağı öyrətmir, çünki keş oxuna bilən mesajlar tələb edir. Müştəri konfiqurasiyası izahsız yönləndirmə əvəzinə dəstəklənən açıq proxy parametrindən istifadə etməlidir.

İşlətdiyinizi keşləyin, gəzdiyinizi yox

Məzmun sizə aiddirsə, tərs proxy TLS-i bitirə və təsdiqlənmiş cavabları qəsdən saxlaya bilər. Məzmun paket anbarına aiddirsə, layihənin dəstəklədiyi güzgüdən istifadə edin.

nginx -T | grep -n "proxy_cache"
curl -sSI https://mirror.example/pkg/index.json | grep -i -E "cache-control|age"

Birinci əmr keş zonasının qurulub-qurulmadığını və harada tətbiq olunduğunu göstərir, ikincisi isə bir obyekt üçün mənbənin öz keş göstərişlərini göstərir. Paylaşılan keş təzəliyə, keş nəzarətlərinə və təqdimatları fərqləndirən sorğu atributlarına hörmət etməlidir; private və no-store fərqli şeylər deməkdir və hit nisbətini artırmaq üçün heç biri çıxarılmamalıdır. HTTP keş qaydaları həm də cavabların autentifikasiyalı sorğular üçün saxlanmasını məhdudlaşdırır və fərdiləşdirilmiş səhifə məhz burada məlumat ifşasına çevrilir. Proxy-ni açıq relay kimi göstərmək əvəzinə təsdiqlənmiş müştərilərlə məhdudlaşdırın.

Hit-i ölçün, saniyəölçəni yox

Daha sürətli ikinci sorğu yeni keşin nəsə etdiyini sübut etmir, çünki brauzerlər və əməliyyat sistemləri özləri aqressiv keşləyir. Proxy-dən hit və miss sayğaclarını soruşun və nəzarətli təkrar zamanı mənbə trafikini izləyin. Məlum obyektin bir təkrar yükləməsindən istifadə edin, keş əvvəl aktiv, sonra yan keçilmiş olsun, və keçən vaxtı deyil, mənbənin verdiyi baytları müqayisə edin. Sonra avtorizasiya sərhədini yoxlayın: giriş tələb edən resurs başqa müştəriyə verilməməlidir.

İş yükünü, keş açarını və təkrar istifadəyə icazə verən siyasəti qeyd edin. Keş optimallaşdırma kostyumu geyinmiş məlumat paylaşma qərarıdır.