Қосылу ілгегі — бұл сессия саясаты, пакет сүзгісі емес

Біреу клиенттер туннель арқылы не жіберетінін көргісі келеді, құжаттамадан қосылу ілгегін табады және ешқашан бір де пакет алмайтын скрипт жаза бастайды. Ілгек шынайы және пайдалы, бірақ оның жұмыс бірлігі — сессия, байт емес. Дұрыс компонентті таңдау — жұмыс болуы мүмкін үш орынды салыстыру, ал шешуші сұрақ — әрқайсысы қай бірлікті шынымен көре алады.

Ілгек не алады және ол ешқашан нені алмайды

Клиенттің қосылу ілгегі аутентификацияланған клиент сессия орнатқанда бір рет, сервер процесінің контекстінде, құжатталған аргументтермен және ортақ атау мен берілген мекенжай сияқты орта мәндерімен іске қосылады. Ол клиентке арналған конфигурацияны жаза алады, рұқсат шешімін қабылдай алады, сыртқы ресурсты бөле алады немесе қосылым болғанын жаза алады. Ол істей алмайтын нәрсе — трафикті байқау, өйткені бірінші пакет туннельден өткенде ілгек әлдеқашан қайтқан.

Бұл айналып өту керек шектеу емес. Ағынды өңдеуге тырысатын сессия кері шақыруы қосылымның бүкіл ғұмырында жүруі керек еді, ал демонның скрипт келісімі мұндай пішінге арналмаған. Ілгек сізге кедергі деп шешпес бұрын, оның не үшін екенін сұраңыз.

Қайта қосылулар да маңызды. Үзіліп қайта қосылған клиент — жаңа сессия, сондықтан ілгек бөлетіннің бәрі идемпотентті болуы керек немесе тазартатын ажырау оқиғасымен жұпталуы керек. Әр қайта қосылуда ағатын күй — ілгекке негізделген жобалаудың әдеттегі бірінші қатесі.

Сессия саясаты ілгектің ішінде

Рұқсат — ілгектің табиғи жұмысы. Кімнің, қайдан және қандай сертификатпен қосылғанын білесіз, және бұл сессияның жалғасуын немесе қабылданбауын шеше аласыз. Бұл шешім арзан, бір рет қабылданады және пайдалы жүктеменің бір байтын да қарауды талап етпейді.

Конфигурацияны тағайындау сол пішінге сай келеді. Ілгек клиенттің мекенжайын таңдай алады, сол бірегейлікке лайық опцияларды жібере алады немесе сервер осы клиент үшін оқитын үзінді жаза алады. Шешім сессияға қатысты болғандықтан, бірдеңе дұрыс болмай, біреу белгілі клиенттің неге белгілі мекенжай алғанын түсіндіруі керек болғанда, ол түсінікті болып қалады.

Жазу — үшінші сәйкестік. Сессияның қабылданғанын айтатын, оның бірегейлігі мен уақытымен аудит жазбасы дәл осында. Бұл трафик журналы емес және оған ұқсауға тиіс емес. Кейін біреу клиенттің туннель ішінде не істегенін сұраса, жауап басқа жерден келуі керек.

Пакет жұмысы пакет жолында

Егер талап ұшып бара жатқан байттарды көру немесе өзгерту болса, компонент жіберу жолында болуы керек: кезегі бар брандмауэр ережесі, трафикті басқару ілгегі немесе пайдаланушы кеңістігіндегі жіберуші. Ол механизмдер пакеттерді көреді, және олардың өз күйі, өз істен шығу режимдері және өз өнімділік профилі бар.

Сол қабатта пайдалы жүктемені өңдеу оны оқудан қиын. Бір байтты өзгерту ұзындық өрісін, бақылау сомасын немесе протокол күй машинасын жарамсыз етуі мүмкін, ал үшінші қабат туннелі сізді оның ешқайсысынан қорғамайды. Бұл тек сыртқы тақырыптардың сіз өңдеп жатқандар еместігін білдіреді. Біреуге мазмұнды қайта жазуға уәде бермес бұрын, осы жөндеу жұмысына бюджет белгілеңіз.

Интерфейсті түсіру — бұл санаттағы ең арзан құрал, және ол бақылау, редактор емес. Адамдар екеуін шатастырады, өйткені екеуі де трафикті көру деп сипатталады, бірақ түсіру файл жасайды, ал пакет жолы шешім жасайды.

Қолданба өзгерістері қолданбаның ішінде

Мақсат сұраныстың не қамтитынын немесе жауаптың қалай қалыптасатынын өзгерту болса, дұрыс орын — қызметтің өзі немесе протоколды әдейі аяқтайтын прокси. Ол компоненттер сұраныстарды, жауаптарды және қолданба күтетін аутентификацияны бұрыннан түсінеді, және бұл дәл пакет сүзгісіне жетіспейтін контекст.

Мекенжайларды аудару бұл тізімнің төменінде белгілі себеппен тұр. Ол мекенжайлар мен порттарды қайта жазады және пайдалы жүктемені тыныш қалдырады, сондықтан ол мазмұн құралы емес, мазмұнды да атайтын рецептте қанша жиі кездессе де.

Осы шекараларды бөлек ұстау — жобалауды түсіндіруге болатын ететін нәрсе. Ілгектегі сессия саясаты, пакет жолындағы пакет өңдеу және протокол әдейі аяқталатын жердегі қолданба өзгерісі: шолуға арналған тексеру тізімі ретінде де қызмет ететін үш сөйлем.

TLS әлі де әңгімені аяқтайтын жер

Жоғарыдағылардың бәрінен бір нәрсе аман қалады: туннель ішіндегі HTTPS таситын трафик өзінің тасымал шифрлауын сақтайды. VPN кілттеріне ие болу сізге ішкі IP пакетін береді және арғы жақтағы сайттың сессия кілттерін бермейді.

Сондықтан ілгек мазмұнды принципте де тексере алмайды, сондықтан пакет жолы шифрланған мәтінді көреді, егер орналастыру ішкі TLS-ті әдейі аяқтамаса. скрипт келісімі ілгекке не берілетінін сипаттайды; пайдалы жүктеме туралы ештеңе айтпайды, өйткені берілетін жүктеме жоқ.