Domain fronting ez da VPN bat: bi izen, eskaera bat
HTTPS eskaera batean bi izen ez dira tunel bat. Fronting hornitzailearen bideratze-arauen mende dago; VPN batek zein paketek bidaiatzen duten aukeratzen du. Marraztu bereizita.
Bi teknikak elkarrekin artxibatzen dira, biek bitartekari bat dakartelako eta biek ezkutatzearen antza duelako. Objektu desberdinetan aritzen dira. Domain fronting HTTPS eskaera baten zein geruzatan zein izen agertzen den da. VPN bat zein paketek nolako bidea egiten duten pare batengana da. Fronting VPN mota bat dela esateak funtziona dezaketen diseinuetara eta galdera okerra egiten duten berrikuspenera eramaten du.
Bi izen, bi geruza
TLS konexio batek zerbitzari-izen bat eraman dezake bere handshakean. Konexioa sortu ondoren, HTTP eskaerak nahi duen autoritatea identifikatzen du, normalean Host goiburuan. Bi eremu dira, bi unetan bi software zati desberdinek irakurriak.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Domain fronting-ek lehen bien arteko aldea aprobetxatzen du, fronting zerbitzu batek konexioa onar dezan eta gero eskaera beste leku batera bidera dezan. Bakarrik funtzionatzen du zerbitzu hori bideratzeko prest dagoen tokian, eta hori hornitzailearen politika kontua da, ez protokolo trikimailua.
Fronting hornitzailearen mende dago, ez teknikaren mende
Adibide mugatu gisa, gidak Front Door FAQ Azurerena domain frontingaren aurkako babesak dokumentatzen ditu. Harpidetza bereko eta konfiguratutako ibilbideen barruko domeinuetarako baimendutako desadostasun bat deskribatzen du, eta 421 Misdirected Request erantzun bat desadostasunaren babesak eskaera bat blokeatzen duenean.
Dokumentatutako politika bakar horrek bi leloak aldi berean gainditzen ditu. Ez da izen desberdinen pare bakoitza funtzionatzen, eta ez da desadostasun bakoitza debekatuta. Beste zerbitzuek beren egiaztapenak, beren hedapen-baldintzak eta beren errore-kodeak dituzte.
Ez da beste sare baten murrizketak saihesteko jarraibide bat ere. Hornitzaile baten bideratze-arauak irakurtzea hark zer baimentzen duen ulertzeko arkitektura-lana da; arau horiek saihesteko errezeta gisa tratatzea beste jarduera bat da, beste ondorio batzuekin. Eduki itzazu bi jarduera horiek bereiz idazten ari zaren dokumentuan. Bigarrena da diseinu bat berrikuspenean baztertzea eragiten duena.
Zer hautatzen duen VPN batek benetan
Sare VPN batean, bideratzeak eta plataformaren politikak barne-trafikoa hautatzen dute pare batengana doan tunel baterako. Antolaketaren arabera, hainbat aplikazio edo azpimultzo definitu bat estal ditzake, eta HTTP eskaerarik ez duten protokoloak ere eraman ditzake.
Fronting-ek ez du horietako ezer egiten. HTTPS eskaera bat fronting zerbitzu baten bidez antolatzeak ez du sare pribatuko ibilbiderik instalatzen, ez du UDP aplikazio arbitrariorik eramaten, eta ez du gailuko programa guztiek zerbitzua erabiltzen. Estaldura hori behar baduzu, proxy bat edo tunel bat behar duzu, ez izen trikimailu bat.
Horregatik nahasten dira biak berrikuspenean: biak bitartekari gisa deskribatzen dira, eta biak agertzen dira sarbideari buruzko dokumentuetan. Bakoitzak eskaintzen duen interfazea erabat desberdina da, eta horietako bat bakarrik da sare-bide bat.
Ikusgaitasuna ez da bitarra
Konparazioa ez da soilik ezkutua ikusgaiaren aurka. DNS kontsultak, helmugako helbideak, handshakearen ezaugarriak, paketeen tamainak eta denbora ikusgarri geratzen dira horiek ikusteko posizioan dagoenarentzat, eta behalari horrek ikasten duena bere kokapenaren araberakoa da.
Aplikazioaren datuak ere ikusgai daude horiek amaitzen dituzten muturretan. Zure eskaera bideratzen duen fronting zerbitzua mutur horietako bat da, eta VPN pare bat beste bat. Bi antolaketek ez dute edukia garden bihurtzen zerbitzatu ahal izateko irakurri behar duen alderdiarentzat.
Marraztu hiru kutxak
Arkitektura-berrikuspenerako, marraztu TLS muturra, HTTP bideratze-zerbitzua eta azken aplikazioa hiru kutxa bereizi gisa, eta gero marraztu edozein VPN pare beste leku batean. Web helmuga bat hautatzen duen tokia eta sare pribatuko paketeak garraiatzen dituen tokia ez dute zertan sistema bera izan, eta normalean ez dira.
Kutxak bereizi ondoren, galderak erantzun daitezke: zein izen onartzen dituen hornitzaile honek, zein protokolo behar duten garraio eta zein alderdik zer ikus dezakeen. Hauek batzen dituen diagrama batek inork inplementa ezin duen diseinua eta hiztegiari buruz eztabaidatzen duen berrikuspena sortzen ditu.