HTTPS beroa eta VPN beroa: konparatu eskaera-bide bera

Ziurrenik irakurri duzu HTTPSek TCP konexio berri bat eta TLS eskuzapada berri bat irekitzen dituela API eskaera bakoitzeko, eta horregatik ordu betean irekita dagoen tunel bat merkeagoa dirudi. Horiaren lehen erdia, oro har, faltsua da. Onartutako bezero batek ezarritako konexioa berrerabiltzen du truke askotarako, eta deialdi bakoitzeko bezero berri bat eraikitzen duen probak bizitza-zikloa neurtzen du, ez babesa. Orri honen gainerakoak zer neurtu azaltzen du horren ordez.

Zer eskatzen duen berrerabilerak benetan

Iraunkortasuna HTTP ereduaren parte da, ez trikimailua: konexio batek eskaera-erantzun truke asko daramatza. Konexioa amaitzen da edozein aldek ixten duenean, zerbitzariak konexio inaktibo edo gainkargatua erretiratzen duenean, edo goiburu edo protokolo arau batek konexioa berrerabili ezin daitekeela esaten duenean. HTTPSek elkarrizketa hori TLS barruan jartzen du, truke bakoitzerako eskuzapada berririk eskatu gabe. Beraz, bigarren eskaera batek ez du lehen eskaeraren eskuzapada errepikatzen, tartean zerbait konexioa amaitu ez badu behintzat.

Berrerabilerak aplikazioek erraz apurtzen duten baldintza bat ere badu. Konexioa berrerabiltzeko asmoa duen bezeroak erantzunaren gorputz osoa irakurri behar du, eta erdizka utzitako erantzuna da konexio multzoa inork ohartu gabe desagertzeko ohiko modua.

Egiaztatu liburutegiak onartzen duen bezeroa eta konexio multzoaren bizitza-zikloa, multzoa aktibatuta edo desaktibatuta dagoela suposatu beharrean. Idatzi ere negoziatutako HTTP bertsioa, HTTP/2 eta HTTP/3-k konexioen berrerabilera HTTP/1.1 ez bezala kudeatzen baitute. Hartu negoziatutako bertsioa neurketaren parte gisa, oin-ohar gisa beharrean.

Zergatik neurtzen duen konparaketak bizitza-zikloa

Eragiketa bakoitzeko bezero berri bat sortzeak eta ordu betez konektatuta dagoen tunel batekin alderatzeak konexioaren ezarpena egoera egonkorrarekin alderatzen du. Hori neurketa zilegia da, eta ez da HTTPS VPNaren aurka. Bezero konfigurazio berarekin bi exekuziok portaera hobeto deskribatzen dute batek baino, batez ere lehen exekuzioak ebazle bat edo konexio cache bat berotzen duenean.

Mantendu API eragiketa, zerbitzaria, kontua eta datuak konstante, bestela konparaketak aldagai bat baino gehiago darama. Erabaki aldez aurretik non jartzen duzun kronometroa, ezarpenak, TLS negoziazioak, aplikazioaren exekuzioak eta erantzunaren bidalketak modu desberdinean laguntzen baitute guztizkoari. Lehen eskaeraren kronometro bakar batek ezarpena deskribatzen du eta ez du ezer esaten benetan daramazun trafiko egonkorrari buruz. Idatzi kronometroaren mugak zenbakien ondoan.

Bereizi ezarpen hotza eskaera beroetatik

Neurtu lehen eskaera ondorengoengandik bereizita. Ondoren gehitu zerbitzuak benetan ikusten duena: geldialdi aldialdiak, boladak, konkurrentzia, erantzunaren tamaina eta berrekonektatzeak.

Mantendu ziurtagirien baliozkotzea eta HTTPS bi bideetan gaituta, horiek kentzeak segurtasun diseinu desberdina neurtzen baitu, ez azkarragoa. Tunelak ibilbidea edo atebidearen kokapena aldatzen badu, salatu desberdintasun hori bereizita, denbora aldaketa bakoitza zifratzeari egotzi beharrean, bidea, galera eta ilara eskaera txiki bat menderatu baititzakete. Exekutatu bide bakoitza birritan ibilbide beretik ondorioa atera aurretik. Idatzi negoziatutako protokoloa eta kronometroaren mugak bi exekuzioekin.

Planifikatu ixten den konexioa

Iraunkorrak ez du betirako esan nahi. Zerbitzari batek, proxy batek edo sare aldaketa batek konexioa itxi dezake geldialdi aldialdi batean, eta bezeroak bere liburutegiak onartzen duen portaeraren bidez berreskuratu behar du. Berreskuratze horrek egoera-makina bat du: eskaera zerbitzarian osatu daiteke, edo zerbitzariak irakurri aurretik huts egin dezake, eta itxitako socket batek ez dio deitzeari zein gertatu den esaten. Posizio horretan idempotentea ez den eragiketa ezin da besterik gabe berriz erreproduzitu, errepikapen batek emaitza ezezaguna idazketa bikoitza bihurtzen baitu. Hemen tunel bero batek eta konexio bero batek antzera jokatzen dute, biek huts egin baititzakete lana abian den unean.

Erabili zerbitzuaren berriro saiatzeko edo idempotentzia mekanismo dokumentatua, socketa berriro irekitzen duen begizta baten ordez. Probatu berreskuratzea espresuki: itxi konexio inaktibo bat eta behatu bezeroak zer egiten duen ondoren. Socketa berriro irekitzeak ez du egoera aldatzen duen deialdi baten errepikapena seguru egiten.

Aukeratu muga lehenik, gero doitu

Aukeratu sare mugaren sarbide eta konfiantza baldintzen arabera ezer optimizatu aurretik. VPN batek bere parekideen arteko segmentua babesten du, eta aplikazioaren mutur puntuek eta tunelaz kanpoko testu arrunteko segmentuek oraindik garrantzia dute. Ondoren doi ezazu konexioaren bizitza-zikloa muga horren barruan. Tunel merkeagoaren ondorioa eskaera bakoitzak eskuzapada errepikatzen duelako usteatik baino ez dator, eta uste hori da hemen probatzen dena.

RFC 9112ko iraunkortasun atala da berrerabilerak benetan zer agintzen duen erreferentzia, konexioa amaitzen duten baldintzak barne. Irakurri behin horiek baztertzen dituen proba bati fidatu aurretik.