Domeinfronting is gjin VPN: twa nammen, ien fersyk
Twa nammen yn ien HTTPS-fersyk is gjin tunnel. Fronting hinget ôf fan de routeringsregels fan de oanbieder; in VPN kiest hokker pakketten reizgje. Tekenje se apart.
De twa techniken wurde byinoar argivearre, om’t se beide in tuskenpersoan hawwe en beide nei ferbergjen klinke. Se wurkje op ferskillende objekten. Domeinfronting giet oer hokker namme op hokker laach fan ien HTTPS-fersyk ferskynt. In VPN giet oer hokker pakketten in bepaald paad nei in peer nimme. Fronting in soarte VPN neame liedt ta ûntwerpen dy’t net wurkje kinne, en ta resinsjes dy’t de ferkearde fraach stelle.
Twa nammen, twa lagen
In TLS-ferbining kin in servernamme yn syn handshake drage. As de ferbining bestiet, identifisearret it HTTP-fersyk de autoriteit dy’t it wol, meastentiids yn de Host-kop. Dat binne twa fjilden dy’t op twa ferskillende mominten troch twa ferskillende stikken software lêzen wurde.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Domeinfronting brûkt in ferskil tusken de earste twa, sadat in fronting-tsjinst de ferbining akseptearret en it fersyk dan earne oars hinne rjochtet. It wurket allinnich dêr’t dy tsjinst ree is it te rjochtsjen, wat in kwestje fan oanbiedersbelied is en net in protokoltrúk.
Fronting hinget fan de oanbieder ôf, net fan de technyk
As beheind foarbyld, de gids Front Door FAQ fan Azure dokumintearret beskermings tsjin domeinfronting. It beskriuwt in tastiene ôfwiking foar domeinen binnen itselde abonnemint en konfigurearre rûtes, en in 421 Misdirected Request-antwurd as de ôfwikingsbeskerming in fersyk blokket.
Dat iene dokumintearre belied ferneatiget beide slogans tagelyk. Net elk pear ferskillende nammen wurket, en net elke ôfwiking is ferbean. Oare tsjinsten hawwe har eigen kontrôles, har eigen ymplemintaasje-easken en har eigen flaterkoades.
It is ek gjin ynstruksje om de beheiningen fan in oar netwurk hinne te gean. De routeringsregels fan in oanbieder lêze om te begripen wat er tastiet is arsjitektuerwurk; dy regels behannelje as in resept foar omgong is in oare aktiviteit mei oare gefolgen. Hâld dy twa aktiviteiten apart yn it dokumint dat jo skriuwe. It is de twadde dy’t in ûntwerp by in resinsje ôfkeard krije.
Wat in VPN eins kiest
Yn in netwurk-VPN kieze routing en platfoarmbelied it binnenste ferkear foar in tunnel nei in peer. Ofhinklik fan de regeling kin dat ferskate applikaasjes of in definieare subset dekke, en it kin protokollen drage dy’t hielendal gjin HTTP-fersyk hawwe.
Fronting docht dêr neat fan. Ien HTTPS-fersyk troch in fronting-tsjinst regelje ynstallearret gjin partikulier netwurkpaad, draacht gjin willekeurige UDP-applikaasjes en lit net elk programma op it apparaat de tsjinst brûke. As jo dy dekking nedich hawwe, hawwe jo in proxy of in tunnel nedich, net in nammetrúk.
Dêrom wurde de twa yn resinsjes trochinoar helle: beide wurde beskreaun as tuskenpersoanen, en beide ferskine yn dokuminten oer tagong. De ynterface dy’t elk biedt is hielendal oars, en mar ien fan de twa is in netwurkpaad.
Sichtberens is net binêr
De ferliking is ek net simpelwei ferstoppe tsjin sichtber. DNS-fragens, bestimmingsadressen, handshake-skaaimerken, pakketgruttes en timing bliuwe allegear waarnimber foar wa’t yn de posysje is se te sjen, en wat dy waarnimmer leart hinget ôf fan wêr’t er sit.
Applikaasjegegevens binne ek sichtber by de einpunten dy’t se beëinigje. In fronting-tsjinst dy’t jo fersyk rjochtet is ien fan dy einpunten, en in VPN-peer is in oar. Gjin fan beide regelingen makket de ynhâld ûntrochsichtich foar de partij dy’t it lêze moat om jo te betsjinjen.
Tekenje de trije kasten
Tekenje foar in arsjitektuerresinsje it TLS-einpunt, de HTTP-routeringstsjinst en de definitive applikaasje as trije aparte kasten, en tekenje dan elke VPN-peer wer earne oars. It plak dat in webbestimming kiest en it plak dat pakketten fan in partikulier netwurk ferfiert hoege net itselde systeem te wêzen, en binne dat meastentiids net.
As de kasten apart binne, wurde de fragen beantwurdber: hokker nammen akseptearret dizze oanbieder, hokker protokollen moatte ferfierd wurde, en hokker partij kin wat sjen. In diagram dat se gearran, produsearret in ûntwerp dat nimmen ymplementearje kin en in resinsje dy’t oer wurdskat strideret.