Domeeni frontimine ei ole VPN: kaks nime, üks päring
Kaks nime ühes HTTPS-päringus ei ole tunnel. Frontimine sõltub teenusepakkuja marsruutimisreeglitest; VPN valib, millised paketid liiguvad. Joonista need eraldi.
Need kaks tehnikat paigutatakse kokku, sest mõlemad hõlmavad vahendajat ja mõlemad kõlavad nagu peitmine. Need toimivad erinevatel objektidel. Domeeni frontimine puudutab seda, milline nimi ilmub ühe HTTPS-päringu millisel kihil. VPN puudutab seda, millised paketid lähevad kindlat teed pidi partnerini. Frontimise nimetamine VPN-i liigiks viib kavanditeni, mis ei saa toimida, ja ülevaatusteni, mis küsivad vale küsimust.
Kaks nime, kaks kihti
TLS-ühendus võib oma kätlemises kanda serveri nime. Kui ühendus on olemas, määrab HTTP-päring ära volituse, mida see soovib, tavaliselt Host-päises. Need on kaks välja, mida loetakse kahel erineval hetkel kahe erineva tarkvaratüki poolt.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Domeeni frontimine kasutab ära erinevust kahe esimese vahel, nii et frontimisteenus võtab ühenduse vastu ja suunab seejärel päringu mujale. See töötab ainult seal, kus see teenus on valmis seda suunama, mis on teenusepakkuja poliitika küsimus, mitte protokolli trikk.
Frontimine sõltub teenusepakkujast, mitte tehnikast
Piiratud näiteks dokumenteerib Front Door FAQ Azure’i juhend kaitseid domeeni frontimise vastu. See kirjeldab lubatud mittevastavust sama tellimuse ja konfigureeritud marsruutide domeenide jaoks ning vastust 421 Misdirected Request, kui mittevastavuse kaitse päringu blokeerib.
See üks dokumenteeritud poliitika tühistab mõlemad loosungid korraga. Mitte iga erinevate nimede paar ei tööta ja mitte iga mittevastavus ei ole keelatud. Teistel teenustel on oma kontrollid, oma juurutamisnõuded ja oma veakoodid.
See ei ole ka juhis teise võrgu piirangutest möödaminekuks. Teenusepakkuja marsruutimisreeglite lugemine, et mõista, mida see lubab, on arhitektuuritöö; nende reeglite käsitlemine möödamineku retseptina on teine tegevus teiste tagajärgedega. Hoidke need kaks tegevust kirjutatavas dokumendis lahus. Teine on see, mille tõttu kavand ülevaatusel tagasi lükatakse.
Mida VPN tegelikult valib
Võrgu-VPN-is valivad marsruutimine ja platvormipoliitika sisemise liikluse tunneliks partnerini. Sõltuvalt korraldusest võib see katta mitut rakendust või määratletud alamhulka ning kanda protokolle, millel puudub üldse HTTP-päring.
Frontimine ei tee midagi sellest. Ühe HTTPS-päringu korraldamine frontimisteenuse kaudu ei paigalda privaatvõrgu marsruuti, ei kanna suvalisi UDP-rakendusi ega pane seadme igat programmi teenust kasutama. Kui vajate sellist katvust, vajate puhverserverit või tunnelit, mitte nimega trikki.
Seetõttu aetakse need kaks ülevaatusel segi: mõlemat kirjeldatakse vahendajana ja mõlemad esinevad juurdepääsu käsitlevates dokumentides. Liides, mida kumbki pakub, on täiesti erinev, ja ainult üks neist on võrgutee.
Nähtavus ei ole binaarne
Ka võrdlus ei ole lihtsalt peidetud nähtava vastu. DNS-päringud, sihtkoha aadressid, kätlemise tunnused, paketi suurused ja ajastus jäävad kõik jälgitavaks kellelegi, kes on positsioonil neid näha, ja see, mida see vaatleja õpib, sõltub sellest, kus ta asub.
Rakenduse andmed on nähtavad ka lõpp-punktides, mis need lõpetavad. Frontimisteenus, mis teie päringu suunab, on üks neist lõpp-punktidest, ja VPN-partner on teine. Kumbki korraldus ei tee sisu läbipaistmatuks selle osapoole jaoks, kes peab seda lugema, et teid teenindada.
Joonista kolm kasti
Arhitektuuri ülevaatuse jaoks joonista TLS-i lõpp-punkt, HTTP marsruutimisteenus ja lõplik rakendus kolme eraldi kastina ning seejärel joonista mis tahes VPN-partner jälle kuhugi mujale. Koht, mis valib veebisihtkoha, ja koht, mis transpordib privaatvõrgu pakette, ei pea olema sama süsteem, ja tavaliselt ei olegi.
Kui kastid on eraldi, muutuvad küsimused vastatavaks: milliseid nimesid see teenusepakkuja aktsepteerib, millised protokollid vajavad transporti ja milline osapool saab mida näha. Diagramm, mis need kokku sulatab, annab kavandi, mida keegi ei saa juurutada, ja ülevaatuse, mis vaidleb sõnavara üle.