Домендік фронттинг VPN емес: екі атау, бір сұрау
Бір HTTPS сұрауындағы екі атау туннель емес. Фронттинг провайдердің маршруттау ережелеріне байланысты; VPN қай пакеттердің жүретінін таңдайды. Оларды бөлек салыңыз.
Екі әдіс бір қалтаға салынады, өйткені екеуінде де делдал бар және екеуі де жасыруға ұқсайды. Бірақ олар әртүрлі нысандармен жұмыс істейді. Домендік фронттинг бір HTTPS сұрауының қай қабатында қай атаудың көрінетіні туралы. VPN қай пакеттердің серіктеске белгілі бір жолмен жүретіні туралы. Фронттингті VPN түрі деп атау жұмыс істей алмайтын жобаларға және дұрыс емес сұрақ қоятын шолуларға әкеледі.
Екі атау, екі қабат
TLS байланысы қол алысуында сервер атауын алып жүре алады. Байланыс пайда болғаннан кейін HTTP сұрауы қалаған өкілеттікті анықтайды, әдетте Host тақырыбында. Бұл екі өріс, оларды екі түрлі сәтте екі түрлі бағдарламалық бөлік оқиды.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Домендік фронттинг алғашқы екеуінің арасындағы айырмашылықты пайдаланып, фронттинг қызметі байланысты қабылдап, содан кейін сұрауды басқа жерге бағыттайды. Ол тек сол қызмет оны бағыттауға дайын жерде ғана жұмыс істейді, бұл протокол айласы емес, провайдер саясатының мәселесі.
Фронттинг әдіске емес, провайдерге байланысты
Шектеулі мысал ретінде, Front Door бойынша жиі қойылатын сұрақтар Azure нұсқаулығы домендік фронттингтен қорғауды сипаттайды. Онда бір жазылым және конфигурацияланған маршруттар шегіндегі домендер үшін рұқсат етілген сәйкессіздік, сондай-ақ сәйкессіздік қорғанысы сұрауды бөгеттеген кездегі 421 Misdirected Request жауабы сипатталған.
Осы бір құжатталған саясат екі ұранды да бірден жояды. Әртүрлі атаулардың әр жұбы жұмыс істемейді, әр сәйкессіздік те тыйым салынбаған. Басқа қызметтердің өз тексерістері, өз орналастыру талаптары және өз қате кодтары бар.
Бұл басқа желінің шектеулерін айналып өту жөніндегі нұсқаулық та емес. Провайдердің маршруттау ережелерін оның неге рұқсат беретінін түсіну үшін оқу сәулет жұмысы; бұл ережелерді айналып өту рецептісі ретінде қарау басқа салдарлары бар басқа қызмет. Жазып жатқан құжатта осы екі қызметті бөлек ұстаңыз. Екіншісі шолуда жобаның қабылданбауына әкелетін нәрсе.
VPN іс жүзінде нені таңдайды
Желілік VPN-де маршруттау және платформа саясаты серіктеске баратын туннель үшін ішкі трафикті таңдайды. Орналасуға байланысты бұл бірнеше қолданбаны немесе белгілі бір ішкі жиынды қамтуы мүмкін және мүлдем HTTP сұрауы жоқ протоколдарды тасымалдай алады.
Фронттинг бұлардың ешқайсысын жасамайды. Бір HTTPS сұрауын фронттинг қызметі арқылы ұйымдастыру жеке желі маршрутын орнатпайды, ерікті UDP қолданбаларын тасымалдамайды және құрылғыдағы әр бағдарламаны қызметті пайдалануға мәжбүрлемейді. Егер сізге осындай қамту қажет болса, сізге прокси немесе туннель қажет, атау айласы емес.
Сондықтан бұл екеуі шолуда шатасады: екеуі де делдал ретінде сипатталады және екеуі де қатынас туралы құжаттарда кездеседі. Әрқайсысы ұсынатын интерфейс мүлдем басқа, және олардың тек біреуі ғана желілік жол.
Көріну екілік емес
Салыстыру да тек жасырын қарсы көрінетін емес. DNS сұраулары, тағайындалған мекенжайлар, қол алысу ерекшеліктері, пакет өлшемдері және уақыт барлығы оларды көру позициясында тұрған адамға байқалатын күйінде қалады, ал сол бақылаушының нені білетіні оның қайда отырғанына байланысты.
Қолданба деректері оларды аяқтайтын шеткі нүктелерде де көрінеді. Сұрауыңызды бағыттайтын фронттинг қызметі сол шеткі нүктелердің бірі, ал VPN серіктесі екіншісі. Екі орналасудың ешқайсысы мазмұнды оны сізге қызмет көрсету үшін оқуға тиіс тарап үшін тұнық етпейді.
Үш қорапты салыңыз
Сәулеттік шолу үшін TLS шеткі нүктесін, HTTP маршруттау қызметін және түпкілікті қолданбаны үш бөлек қорап ретінде салыңыз, содан кейін кез келген VPN серіктесін тағы басқа жерге салыңыз. Веб мақсатты таңдайтын орын мен жеке желі пакеттерін тасымалдайтын орын бір жүйе болуы міндетті емес, және әдетте олай болмайды.
Қораптар бөлінген соң сұрақтарға жауап беруге болады: бұл провайдер қандай атауларды қабылдайды, қандай протоколдар тасымалдауды қажет етеді және қай тарап нені көре алады. Оларды біріктіретін диаграмма ешкім жүзеге асыра алмайтын жобаны және сөздік қор туралы дауласатын шолуды тудырады.