Nid yw domain fronting yn VPN: dau enw, un cais

Mae’r ddau dechneg yn cael eu ffeilio gyda’i gilydd oherwydd bod y ddau yn cynnwys cyfryngwr ac yn swnio fel cuddio. Maent yn gweithio ar wahanol wrthrychau. Mae domain fronting yn ymwneud â pha enw sy’n ymddangos ar ba haen o un cais HTTPS. Mae VPN yn ymwneud â pha becynnau sy’n cymryd llwybr penodol at bartner. Mae galw fronting yn fath o VPN yn arwain at ddyluniadau na allant weithio, ac at adolygiadau sy’n gofyn y cwestiwn anghywir.

Dau enw, dwy haen

Gall cysylltiad TLS gario enw gweinydd yn ei handshake. Unwaith y bydd y cysylltiad yn bodoli, mae’r cais HTTP yn nodi’r awdurdod y mae’n ei eisiau, fel arfer yn y pennawd Host. Mae’r rhain yn ddau faes a ddarllenir ar ddau foment wahanol gan ddwy ran wahanol o feddalwedd.

Mae domain fronting yn defnyddio gwahaniaeth rhwng y ddau gyntaf fel bod gwasanaeth fronting yn derbyn y cysylltiad ac yna’n llwybro’r cais i rywle arall. Dim ond lle mae’r gwasanaeth hwnnw’n fodlon ei lwybro y mae’n gweithio, ac mae hynny’n gwestiwn o bolisi darparwr yn hytrach na thric protocol.

Mae fronting yn dibynnu ar y darparwr, nid ar y dechneg

Er enghraifft gyfyngedig, mae Front Door FAQ Azure yn dogfennu amddiffyniadau rhag domain fronting. Mae’n disgrifio camgymar a ganiateir ar gyfer parthau o fewn yr un tanysgrifiad a llwybrau wedi’u ffurfweddu, ac ymateb 421 Misdirected Request pan fo’r amddiffyniad camgymar yn rhwystro cais.

Mae’r un polisi dogfenedig hwnnw’n dileu’r ddau slogan ar unwaith. Nid yw pob pâr o enwau gwahanol yn gweithio, ac nid yw pob camgymar wedi’i wahardd chwaith. Mae gan wasanaethau eraill eu gwiriadau eu hunain, eu gofynion defnyddio eu hunain a’u codau gwall eu hunain.

Nid yw ychwaith yn gyfarwyddyd ar gyfer osgoi cyfyngiadau rhwydwaith arall. Mae darllen rheolau llwybro darparwr i ddeall yr hyn y mae’n ei ganiatáu yn waith pensaernïol; mae trin y rheolau hynny fel rysáit osgoi yn weithgaredd gwahanol â chanlyniadau gwahanol. Cadwch y ddau weithgaredd ar wahân yn y ddogfen a ysgrifennwch. Yr ail un yw’r hyn sy’n achosi i ddyluniad gael ei wrthod mewn adolygiad.

Beth mae VPN yn ei ddewis mewn gwirionedd

Mewn VPN rhwydwaith, mae llwybro a pholisi platfform yn dewis traffig mewnol ar gyfer twnnel at bartner. Yn dibynnu ar y trefniant gall hynny gwmpasu sawl cymhwysiad neu is-set ddiffiniedig, a gall gario protocolau nad oes ganddynt unrhyw gais HTTP o gwbl.

Nid yw fronting yn gwneud dim o hynny. Nid yw trefnu un cais HTTPS trwy wasanaeth fronting yn gosod llwybr rhwydwaith preifat, nid yw’n cario cymwysiadau UDP mympwyol, ac nid yw’n gwneud pob rhaglen ar y ddyfais yn defnyddio’r gwasanaeth. Os oes arnoch angen y sylw hwnnw, mae arnoch angen dirprwy neu dwnnel, nid tric enwi.

Dyma pam mae’r ddau yn cael eu cymysgu mewn adolygiad: disgrifir y ddau fel cyfryngwyr, ac mae’r ddau yn ymddangos mewn dogfennau am fynediad. Mae’r rhyngwyneb y mae pob un yn ei gynnig yn hollol wahanol, a dim ond un ohonynt yw llwybr rhwydwaith.

Nid yw gwelededd yn ddeuaidd

Ac nid cymhariaeth syml rhwng cudd a gweladwy yw hi. Mae ymholiadau DNS, cyfeiriadau cyrchfan, nodweddion handshake, maint pecynnau ac amseru i gyd yn parhau i fod yn arsylwadwy i rywun sydd mewn sefyllfa i’w gweld, ac mae’r hyn y mae’r arsylwr hwnnw’n ei ddysgu yn dibynnu ar ble y mae’n eistedd.

Mae data cymhwysiad hefyd yn weladwy ym mhennau terfynol sy’n ei derfynu. Mae gwasanaeth fronting sy’n llwybro eich cais yn un o’r pennau hynny, a phartner VPN yn un arall. Nid yw’r naill drefniant na’r llall yn gwneud y cynnwys yn anodd ei ddarllen i’r parti sy’n gorfod ei ddarllen er mwyn eich gwasanaethu.

Tynnwch y tri blwch

Ar gyfer adolygiad pensaernïol, tynnwch y pennawd terfynol TLS, y gwasanaeth llwybro HTTP a’r cymhwysiad terfynol fel tri blwch ar wahân, yna tynnwch unrhyw bartner VPN yn rhywle arall eto. Nid oes rhaid i’r lle sy’n dewis cyrchfan we a’r lle sy’n cludo pecynnau rhwydwaith preifat fod yr un system, ac fel arfer nid ydynt.

Unwaith y bydd y blychau ar wahân, daw’r cwestiynau’n atebol: pa enwau mae’r darparwr hwn yn eu derbyn, pa brotocolau sydd angen eu cludo, a pha barti all weld beth. Mae diagram sy’n eu huno yn cynhyrchu dyluniad na all neb ei weithredu ac adolygiad sy’n dadlau am eirfa.