Waarm HTTPS tsjin waarm VPN: ferlykje deselde oanfraachpaad

Jo hawwe grif lêzen dat HTTPS foar elke API-oanfraach in nije TCP-ferbining en in nije TLS-handshake iepenet, sadat in tunnel dy't in oere iepen bliuwt der goedkeaper útsjocht. De earste helte dêrfan is meast net wier. In stipe kliïnt brûkt in fêstige ferbining opnij foar in protte útwikselings, en in mjitting dy't by elke oprop in nije kliïnt bout, mjit libbenssyklus ynstee fan beskerming. De rest fan dizze side giet oer wat jo ynstee dêrfan mjitte moatte.

Wat opnij brûken echt freget

Folsêgenheid is part fan it HTTP-model en net in trúk: ien ferbining draacht ferskate oanfraach-antwurd-útwikselings. De ferbining einiget as ien fan beide kanten har slút, as de tsjinner in idle of oerladen ferbining ôfskeaunet, of as in koptekst of protokolregel seit dat de ferbining net opnij brûkt wurde kin. HTTPS leit dat petear binnen TLS sûnder foar elke útwikseling in nije handshake te easkjen. Sa werhellet in twadde oanfraach net de handshake fan de earste oanfraach, útsein as der wat de ferbining yntusken einige hat.

Opnij brûken hat ek ien betingst dy't applikaasjes maklik brekke. In kliïnt dy't fan plan is in ferbining opnij te brûken, moat it folsleine antwurdlichem lêze, en in antwurd dat healwei ôfbrutsen wurdt is de gewoane wize wêrop in ferbiningspoel ferdwynt sûnder dat immen it merkt.

Kontrolearje de stipe kliïnt fan 'e bibleteek en de libbenssyklus fan 'e ferbiningspoel ynstee fan oan te nimmen dat poeljen oan of út is. Skriuw ek de ûnderhannele HTTP-ferzje op, want HTTP/2 en HTTP/3 behannelje ferbiningswerbrûk oars as HTTP/1.1. Behannelje de ûnderhannele ferzje as part fan 'e mjitting, net as fuotnoat.

Wêrom't de ferliking libbenssyklus mjit

It meitsjen fan in nije kliïnt foar elke operaasje en it ferlykjen dêrfan mei in tunnel dy't in oere ferbûn is, ferliket ferbiningsopset mei in fêste tastân. Dat is in legitime mjitting, en it is net HTTPS tsjin VPN. Twa rinnen mei deselde kliïntkonfiguraasje beskriuwe it gedrach better as ien, benammen as de earste rin in resolver of ferbiningscache waarm makket.

Hâld de API-operaasje, de tsjinner, it akkount en de gegevens konstant, oars draacht de ferliking mear as ien fariabele. Bepaal foarôf wêr't jo de timer sette, want opset, TLS-ûnderhanneling, applikaasjeútfiering en antwurdlevering drage ferskillend by oan it totaal. Ien timer foar de earste oanfraach karakterisearret de opset en seit neat oer it fêste ferkear dat jo eins driuwe. Skriuw de timergrinzen njonken de sifers.

Skied kâlde opset fan waarme oanfragen

Mjit de earste oanfraach apart fan dy dy't folgje. Foegje dan ta wat de tsjinst echt sjocht: idle perioaden, útbarstings, gelykheid, antwurdgrutte en opnij ferbinen.

Hâld sertifikaatfalidaasje en HTTPS oan op beide paden, want it fuortheljen dêrfan mjit in oar feiligensûntwerp ynstee fan in flugger ien. As de tunnel de rûte of it plak fan 'e gateway feroaret, rapportearje dat ferskil apart ynstee fan elke tiidferoaring oan fersifering ta te skriuwen, want paad, ferlies en wachtrige kinne in lytse oanfraach oerhearskje. Rin elk paad twa kear oer deselde rûte foardat jo in konklúzje lûke. Skriuw it ûnderhannele protokol en de timergrinzen by beide rinnen op.

Plan foar de ferbining dy't slút

Folsêge betsjut net permanint. In tsjinner, in proxy of in netwurkferoaring kin in ferbining yn in idle perioade slute, en de kliïnt moat him werstelle fia it stipe gedrach fan syn bibleteek. Dy werstelling hat in tastânsmasine: de oanfraach kin op 'e tsjinner foltôge wêze, of hy kin mislearre wêze foardat de tsjinner him lies, en in sletten socket fertelt de oanropper net wat der barde. In net-idempotinte operaasje op dat plak kin net samar wer spile wurde, want in werhelling feroaret in ûnbekend resultaat yn in dûbele skriuwing. Hjir gedrage in waarme tunnel en in waarme ferbining har itselde, want beide kinne mislearje op it stuit dat wurk ûnderweis is.

Brûk it dokumintearre werprobearje- of idempotinsjemeganisme fan 'e tsjinst ynstee fan in loop dy't de socket opnij iepenet. Test de werstelling eksplisyt troch in idle ferbining te sluten en te sjen wat de kliïnt dêrnei docht. It opnij iepenjen fan in socket makket it werheljen fan in tastânferoarjende oprop net feilich.

Kies earst de grins, stim dan ôf

Kies de netwurkgrins op grûn fan 'e tagongs- en fertrouwenseasken foardat jo eat optimalisearje. In VPN beskermet it segmint tusken syn peers, wylst de applikaasje-einpunten en elk iepen-tekstsegmint bûten de tunnel noch altyd fan belang binne. Stem dan de ferbiningslibbenssyklus binnen dy grins ôf. De konklúzje fan 'e goedkeapere tunnel folget allinnich út 'e oertsjûging dat elke oanfraach de handshake werhellet, en dat is krekt wat hjir test wurde moat.

De seksje oer folsêgenheid yn RFC 9112 is de referinsje foar wat opnij brûken echt belooft, ynklusyf de betingsten dy't in ferbining beëinigje. Lês him ien kear foardat jo in mjitting fertrouwe dy't se negearret.