Домендик фронттинг VPN эмес: эки ат, бир суроо
Бир HTTPS суроодогу эки ат туннель эмес. Фронттинг провайдердин маршруттоо эрежелерине көз каранды; VPN кайсы пакеттер жүрөрүн тандайт. Аларды өзүнчө тартыңыз.
Бул эки ыкма бир папкага салынат, анткени экөөндө тең ортомчу бар жана экөө тең жашырууга окшош. Бирок алар ар башка объектилер менен иштейт. Домендик фронттинг бир HTTPS суроосунун кайсы катмарында кайсы ат көрүнөрү тууралуу. VPN кайсы пакеттер белгилүү жол менен өнөктөшкө бараары тууралуу. Фронттингди VPN түрү деп атоо иштей албаган долбоорлорго жана туура эмес суроо берген кароолорго алып келет.
Эки ат, эки катмар
TLS байланышы кол алышуусунда сервер атын алып жүрө алады. Байланыш пайда болгондон кийин HTTP суроосу каалаган ыйгарым укугун аныктайт, адатта Host аталышында. Бул эки талаа, аларды эки башка учурда эки башка программалык бөлүк окуйт.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Домендик фронттинг алгачкы экөөнүн ортосундагы айырманы колдонуп, фронттинг кызматы байланышты кабыл алып, анан суроону башка жакка багыттайт. Ал кызмат аны багыттоого даяр жерде гана иштейт, бул протоколдук амал эмес, провайдердин саясатынын маселеси.
Фронттинг ыкмага эмес, провайдерге көз каранды
Чектелген мисал катары, Front Door боюнча көп берилүүчү суроолор Azure колдонмосу домендик фронттингден коргоону сүрөттөйт. Анда бир эле жазылуу жана конфигурацияланган маршруттардын ичиндеги домендер үчүн уруксат берилген шайкешсиздик, ошондой эле шайкешсиздиктен коргоо суроону тоскондо 421 Misdirected Request жообу сүрөттөлгөн.
Ошол бир документтелген саясат эки ураанды тең бир убакта жокко чыгарат. Ар башка аттардын ар бир жуптугу иштебейт, жана ар бир шайкешсиздикке тыюу салынган эмес. Башка кызматтардын өз текшерүүлөрү, өз жайгаштыруу талаптары жана өз ката коддору бар.
Бул ошондой эле башка тармактын чектөөлөрүн айланып өтүү боюнча нускама эмес. Провайдердин маршруттоо эрежелерин анын эмнеге уруксат берерин түшүнүү үчүн окуу архитектуралык иш; бул эрежелерди айланып өтүү рецепти катары кароо башка кесепеттери бар башка ишмердик. Жазып жаткан документте бул эки ишмердикти өзүнчө кармаңыз. Экинчиси кароодо долбоордун четке кагылышына алып келген нерсе.
VPN иш жүзүндө эмнени тандайт
Тармактык VPNде маршруттоо жана платформа саясаты өнөктөшкө бараткан туннелге ички трафикти тандайт. Жайгашууга жараша бул бир нече колдонмону же белгиленген ички топтомду камтый алат, жана такыр HTTP суроосу жок протоколдорду алып жүрө алат.
Фронттинг алардын эч бирин кылбайт. Фронттинг кызматы аркылуу бир HTTPS суроосун уюштуруу жеке тармак маршрутун орнотпойт, каалаган UDP колдонмолорун алып жүрбөйт жана түзмөктөгү ар бир программаны кызматты колдонууга мажбурлабайт. Эгер сизге ушундай камтуу керек болсо, сизге прокси же туннель керек, ат амалы эмес.
Ошондуктан бул экөө кароодо алмашат: экөө тең ортомчу катары сүрөттөлөт жана экөө тең жетүү тууралуу документтерде кездешет. Ар бири сунуш кылган интерфейс таптакыр башка, жана алардын бирөө гана тармактык жол.
Көрүнүү экилик эмес
Салыштыруу да жөн гана жашыруун каршы көрүнүүчү эмес. DNS суроолору, багытталган даректер, кол алышуу өзгөчөлүктөрү, пакет өлчөмдөрү жана убакыт баары аларды көрө турган абалда турган адам үчүн байкалуучу бойдон калат, жана ал байкоочу эмнени үйрөнөрү анын кайда отурганына көз каранды.
Колдонмо берилиштери да аларды бүтүргөн четки чекиттерде көрүнөт. Сурооңузду багыттаган фронттинг кызматы ошол четки чекиттердин бири, ал эми VPN өнөктөшү экинчиси. Эки жайгашуунун эч бири мазмунду сизге кызмат көрсөтүү үчүн аны окушу керек болгон тарап үчүн тунук эмес кылбайт.
Үч кутучаны тартыңыз
Архитектуралык кароо үчүн TLS четки чекитин, HTTP маршруттоо кызматын жана акыркы колдонмону үч өзүнчө кутуча кылып тартыңыз, анан каалаган VPN өнөктөшүн дагы башка жерге тартыңыз. Веб багытты тандаган жер менен жеке тармактын пакеттерин ташыган жер бир система болушу шарт эмес, жана адатта андай болбойт.
Кутучалар өзүнчө болгондон кийин суроолорго жооп берүүгө болот: бул провайдер кайсы аттарды кабыл алат, кайсы протоколдор ташууну талап кылат жана кайсы тарап эмнени көрө алат. Аларды бириктирген диаграмма эч ким ишке ашыра албаган долбоорду жана сөздүк боюнча талашкан кароону жаратат.