Domen frantinqi VPN deyil: iki ad, bir sorğu
Bir HTTPS sorğusunda iki ad tunel deyil. Frantinq provayderin marşrutlaşdırma qaydalarından asılıdır; VPN hansı paketlərin getdiyini seçir. Onları ayrıca çəkin.
İki texnika birlikdə qeydə alınır, çünki hər ikisində vasitəçi var və hər ikisi gizlənmə kimi səslənir. Lakin onlar fərqli obyektlər üzərində işləyir. Domen frantinqi bir HTTPS sorğusunun hansı qatında hansı adın göründüyü ilə bağlıdır. VPN isə hansı paketlərin müəyyən yolla qarşı tərəfə getdiyi ilə bağlıdır. Frantinqi VPN növü adlandırmaq işləyə bilməyən dizaynlara və yanlış sual verən rəylərə gətirib çıxarır.
İki ad, iki qat
TLS bağlantısı öz əl sıxmasında server adı daşıya bilər. Bağlantı yarandıqdan sonra HTTP sorğusu istədiyi səlahiyyəti, adətən Host başlığında göstərir. Bunlar iki fərqli məqamda iki fərqli proqram təminatı tərəfindən oxunan iki sahədir.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Domen frantinqi ilk ikisi arasındakı fərqi istifadə edir: frantinq xidməti bağlantını qəbul edir və sonra sorğunu başqa yerə yönləndirir. Bu, yalnız həmin xidmətin yönləndirməyə hazır olduğu yerlərdə işləyir ki, bu da protokol hiyləsi deyil, provayder siyasəti məsələsidir.
Frantinq texnikadan deyil, provayderdən asılıdır
Məhdud bir nümunə üçün, Azure-ın Front Door üzrə tez-tez verilən suallar sənədi domen frantinqindən qorunmanı təsvir edir. Orada eyni abunəlik və konfiqurasiya edilmiş marşrutlar daxilində domenlər üçün icazə verilən uyğunsuzluq, həmçinin uyğunsuzluq mühafizəsi sorğunu bloklayanda 421 Misdirected Request cavabı qeyd olunur.
Bu tək sənədləşdirilmiş siyasət hər iki şüarı eyni vaxtda puça çıxarır. Fərqli adların hər cütü işləmir, həm də hər uyğunsuzluq qadağan deyil. Digər xidmətlərin öz yoxlamaları, öz yerləşdirmə tələbləri və öz xəta kodları var.
Bu həm də başqa şəbəkənin məhdudiyyətlərini yan keçmək üçün təlimat deyil. Provayderin marşrutlaşdırma qaydalarını onun nəyə icazə verdiyini anlamaq üçün oxumaq arxitektura işidir; bu qaydaları yan keçmə resepti kimi qəbul etmək fərqli nəticələri olan fərqli fəaliyyətdir. Yazdığınız sənəddə bu iki fəaliyyəti ayrı saxlayın. Dizaynı rəydə məhz ikincisi rədd etdirir.
VPN əslində nəyi seçir
Şəbəkə VPN-də marşrutlaşdırma və platforma siyasəti qarşı tərəfə gedən tunel üçün daxili trafiki seçir. Quruluşdan asılı olaraq bu, bir neçə tətbiqi və ya müəyyən alt çoxluğu əhatə edə bilər və ümumiyyətlə HTTP sorğusu olmayan protokolları daşıya bilər.
Frantinq bunların heç birini etmir. Bir HTTPS sorğusunu frantinq xidməti vasitəsilə təşkil etmək şəxsi şəbəkə marşrutu qurmur, ixtiyari UDP tətbiqlərini daşımır və cihazdakı hər proqramı xidmətdən istifadə etməyə məcbur etmir. Əgər sizə bu əhatə lazımdırsa, sizə ad hiyləsi deyil, proksi və ya tunel lazımdır.
Buna görə də ikisi rəydə qarışdırılır: hər ikisi vasitəçi kimi təsvir olunur və hər ikisi girişlə bağlı sənədlərdə görünür. Hər birinin təqdim etdiyi interfeys tamamilə fərqlidir və yalnız biri şəbəkə yoludur.
Görünürlük ikili deyil
Müqayisə də sadəcə gizli ilə görünən arasında deyil. DNS sorğuları, təyinat ünvanları, əl sıxma xüsusiyyətləri, paket ölçüləri və vaxtlama — hamısı onları görmək mövqeyində olan biri üçün müşahidə oluna bilən qalır və o müşahidəçinin nə öyrəndiyi harada yerləşdiyindən asılıdır.
Tətbiq məlumatları onu sonlandıran son nöqtələrdə də görünür. Sorğunuzu yönləndirən frantinq xidməti həmin son nöqtələrdən biridir, VPN qarşı tərəfi isə başqasıdır. Heç bir quruluş məzmunu onu sizə xidmət etmək üçün oxumalı olan tərəf üçün qeyri-şəffaf etmir.
Üç qutu çəkin
Arxitektura rəyi üçün TLS son nöqtəsini, HTTP marşrutlaşdırma xidmətini və son tətbiqi üç ayrı qutu kimi çəkin, sonra istənilən VPN qarşı tərəfini yenidən başqa yerdə çəkin. Veb təyinatı seçən yer və şəxsi şəbəkə paketlərini daşıyan yer eyni sistem olmaq məcburiyyətində deyil və adətən olmur.
Qutular ayrıldıqdan sonra suallar cavablandırıla bilən olur: bu provayder hansı adları qəbul edir, hansı protokollar daşınma tələb edir və hansı tərəf nəyi görə bilir. Onları birləşdirən diaqram heç kimin tətbiq edə bilməyəcəyi dizayn və lüğət üstündə mübahisə edən rəy yaradır.