Դոմեյն ֆրոնտինգը VPN չէ. երկու անուն, մեկ հարցում
Երկու անուն մեկ HTTPS հարցումում թունել չեն։ Ֆրոնտինգը կախված է մատակարարի երթուղավորման կանոններից. VPN-ն ընտրում է, թե որ փաթեթներն են գնում։ Նկարեք դրանք առանձին։
Այս երկու տեխնիկաները դասվում են միասին, որովհետև երկուսն էլ ներառում են միջնորդ և երկուսն էլ հնչում են որպես թաքցնել։ Սակայն դրանք աշխատում են տարբեր օբյեկտների վրա։ Դոմեյն ֆրոնտինգը այն մասին է, թե որ անունն է երևում մեկ HTTPS հարցման որ շերտում։ VPN-ը այն մասին է, թե որ փաթեթներն են գնում որոշակի ուղիով դեպի գործընկեր։ Ֆրոնտինգը VPN-ի տեսակ անվանելը տանում է դեպի նախագծեր, որոնք չեն կարող աշխատել, և դեպի վերանայումներ, որոնք սխալ հարց են տալիս։
Երկու անուն, երկու շերտ
TLS կապը կարող է իր ձեռքսեղմման մեջ կրել սերվերի անուն։ Երբ կապը գոյություն ունի, HTTP հարցումը նույնականացնում է ցանկալի իշխանությունը, սովորաբար Host վերնագրում։ Սրանք երկու դաշտեր են, որոնք կարդացվում են երկու տարբեր պահերի երկու տարբեր ծրագրային մասերի կողմից։
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Դոմեյն ֆրոնտինգը օգտագործում է տարբերություն առաջին երկուսի միջև, որպեսզի ֆրոնտինգ ծառայությունը ընդունի կապը և ապա ուղղորդի հարցումը այլ տեղ։ Այն աշխատում է միայն այնտեղ, որտեղ այդ ծառայությունը պատրաստ է ուղղորդել այն, ինչը մատակարարի քաղաքականության հարց է, ոչ թե արձանագրության հնարք։
Ֆրոնտինգը կախված է մատակարարից, ոչ թե տեխնիկայից
Որպես սահմանափակ օրինակ, Front Door-ի հաճախ տրվող հարցերը Azure-ը փաստագրում է դոմեյն ֆրոնտինգից պաշտպանությունները։ Այն նկարագրում է թույլատրված անհամապատասխանություն նույն բաժանորդագրության և կարգավորված ուղիների ներսում գտնվող դոմեյնների համար, և 421 Misdirected Request պատասխան, երբ անհամապատասխանության պաշտպանությունը արգելափակում է հարցումը։
Այդ մեկ փաստագրված քաղաքականությունը միանգամից չեղարկում է երկու կարգախոսները։ Ոչ բոլոր տարբեր անունների զույգերն են աշխատում, և ոչ բոլոր անհամապատասխանություններն են արգելված։ Այլ ծառայություններ ունեն իրենց ստուգումները, իրենց տեղակայման պահանջները և իրենց սխալի կոդերը։
Սա նաև հրահանգ չէ շրջանցելու մեկ այլ ցանցի սահմանափակումները։ Մատակարարի երթուղավորման կանոնները կարդալը՝ հասկանալու համար, թե ինչ է նա թույլատրում, ճարտարապետական աշխատանք է. այդ կանոնները շրջանցման բաղադրատոմս համարելը այլ գործունեություն է այլ հետևանքներով։ Այս երկու գործունեությունները առանձին պահեք ձեր գրած փաստաթղթում։ Երկրորդն է այն, ինչի պատճառով նախագիծը մերժվում է վերանայման ժամանակ։
Ինչ է իրականում ընտրում VPN-ը
Ցանցային VPN-ում երթուղավորումը և հարթակի քաղաքականությունը ընտրում են ներքին տրաֆիկը դեպի գործընկեր տանող թունելի համար։ Կախված դասավորությունից դա կարող է ընդգրկել մի քանի հավելված կամ սահմանված ենթաբազմություն, և կարող է կրել արձանագրություններ, որոնք ընդհանրապես HTTP հարցում չունեն։
Ֆրոնտինգը դրանցից ոչ մեկը չի անում։ Մեկ HTTPS հարցում ֆրոնտինգ ծառայության միջոցով կազմակերպելը չի տեղադրում մասնավոր ցանցի ուղի, չի կրում կամայական UDP հավելվածներ և չի ստիպում սարքի յուրաքանչյուր ծրագրին օգտագործել ծառայությունը։ Եթե ձեզ այդ ծածկույթն է պետք, ձեզ պետք է վստահված սերվեր կամ թունել, ոչ թե անվան հնարք։
Ահա թե ինչու վերանայման ժամանակ այս երկուսը շփոթում են. երկուսն էլ նկարագրվում են որպես միջնորդ, և երկուսն էլ հանդիպում են հասանելիության մասին փաստաթղթերում։ Յուրաքանչյուրի առաջարկած ինտերֆեյսը բոլորովին տարբեր է, և դրանցից միայն մեկն է ցանցային ուղի։
Տեսանելիությունը երկուական չէ
Համեմատությունը նույնպես պարզապես թաքնվածն ընդդեմ տեսանելիի չէ։ DNS հարցումները, նպատակակետ հասցեները, ձեռքսեղմման հատկանիշները, փաթեթների չափերը և ժամանակը մնում են դիտելի նրա համար, ով գտնվում է դրանք տեսնելու դիրքում, և թե այդ դիտորդը ինչ է սովորում, կախված է նրանից, թե որտեղ է նստած։
Հավելվածի տվյալները նույնպես տեսանելի են այն ծայրակետերում, որոնք ավարտում են դրանք։ Ֆրոնտինգ ծառայությունը, որը ուղղորդում է ձեր հարցումը, այդ ծայրակետերից մեկն է, իսկ VPN գործընկերը՝ մյուսը։ Դասավորություններից ոչ մեկը բովանդակությունը անթափանց չի դարձնում այն կողմի համար, ով պետք է կարդա այն ձեզ սպասարկելու համար։
Նկարեք երեք արկղերը
Ճարտարապետական վերանայման համար նկարեք TLS ծայրակետը, HTTP երթուղավորման ծառայությունը և վերջնական հավելվածը որպես երեք առանձին արկղ, ապա նկարեք ցանկացած VPN գործընկեր նորից այլ տեղ։ Այն տեղը, որը ընտրում է վեբ նպատակակետ, և այն տեղը, որը փոխադրում է մասնավոր ցանցի փաթեթներ, պարտադիր չէ, որ նույն համակարգը լինեն, և սովորաբար չեն լինում։
Երբ արկղերը առանձին են, հարցերը դառնում են պատասխանելի. ինչ անուններ է ընդունում այս մատակարարը, որ արձանագրություններն են փոխադրում պահանջում, և որ կողմը ինչ կարող է տեսնել։ Դիագրամը, որը միաձուլում է դրանք, ստեղծում է նախագիծ, որը ոչ ոք չի կարող իրականացնել, և վերանայում, որը վիճում է բառապաշարի շուրջ։