En Uschloss-Hook ass Sessiounspolitik, kee Pakettesfilter

Een wëllt kucken, wat d'Clienten duerch den Tunnel schécken, fënnt den Uschloss-Hook an der Dokumentatioun a fänkt un, en Skript ze schreiwen, dee ni ee Paket kritt. Den Hook ass richteg a nëtzlech, awer seng Aarbechtseenheet ass eng Sessioun, keen Byte. Deen richtegen Deel auswielen ass e Verglach tëschent dräi Plazen, wou Aarbecht ka geschéien, an d'entscheedend Fro ass, wéi eng Eenheet jiddweree vun hinne wierklech gesäit.

Wat den Hook kritt, a wat en ni kritt

En Client-Connect-Hook leeft eemol, wann en authentifizéierte Client eng Sessioun opbaut, am Prozesskontext vum Server, mat dokumentéierten Argumenter an Ëmfeldwäerter wéi den gemeinsamen Numm an d'zougewisen Adress. En kann Konfiguratioun pro Client schreiwen, eng Zouloossungsentscheedung huelen, eng extern Ressource reservéieren oder festhalen, datt d'Verbindung geschitt ass. Wat en net ka, ass den Trafik observéieren, well wann den éischte Paket den Tunnel iwwerquiert, ass den Hook schonn zréck.

Daat ass keng Aschränkung, déi ee misst ëmgoen. E Sessiouns-Callback, dee probéiert en Stroum ze verschaffen, misst déi ganz Liewensdauer vun der Verbindung lafen, an de Skriptkontrakt vum Daemon ass net fir déi Form gebaut. Frot, fir wat den Hook do ass, ier s du entscheeds, datt en dir am Wee steet.

Reconnectiounen zielen och. En Client, dee fällt an sech erëm verbënnt, ass eng nei Sessioun, also muss alles, wat den Hook reservéiert, idempotent sinn oder mat engem Trennungsevenement gepaart sinn, dat botzt. Zoustand, dee bei all Reconnectioun leeft, ass de gewéinlechen éischte Feeler an engem hookbaséierten Design.

Sessiounspolitik gehéiert an den Hook

D'Zouloossung ass dem Hook seng natierlech Aarbecht. Du weess, wien sech verbonnen huet, vu wou a mat wéi engem Zertifikat, an s du kanns entscheeden, ob dës Sessioun viru geet oder ofgeleent gëtt. Dee Choix ass bëlleg, en geschitt eemol, an en erfuerdert net, ee Byte Payload ze kucken.

D'Konfiguratiounszouweisung passt an déi selwecht Form. En Hook kann d'Adress vum Client auswielen, Optiounen, déi zu där Identitéit passen, schécken oder e Fragment schreiwen, deen de Server fir dëse Client liest. Well de Choix pro Sessioun ass, bleift en erkläerbar, wann eppes schief geet an een erkläre muss, firwat en bestëmmte Client eng bestëmmten Adress kritt huet.

D'Opzeechnung ass déi drëtt Passform. En Audit-Antrag, deen seet, datt eng Sessioun zougelooss gouf, mat senger Identitéit an Zäit, gehéiert genee heihinner. Et ass keen Trafiklog an et soll sech net als esou ausginn. Wa spéider een freet, wat en Client am Tunnel gemaach huet, muss d'Äntwert vun anerwäerts kommen.

Pakettaarbecht gehéiert op e Paketwee

Wann d'Ufuerderung ass, Bytes am Fluch ze gesinn oder ze änneren, muss den Deel um Weiderleedungswee sinn: eng Firewall-Regel mat enger Schlaang, en Trafiksteierungshook oder en Weiderleeder am Benotzerraum. Déi Mechanismen gesi Paketen, an si hunn hireen eegenen Zoustand, hir eege Feelerarten an hiert eegent Leeschtungsprofil.

D'Payload op där Schicht z'änneren ass méi schwéier wéi se ze liesen. En Byte z'änneren kann en Längtfeld, eng Prüfsumm oder eng Protokoll-Zoustandsmachine ongülteg maachen, an en Tunnel vun drëtter Schicht schützt dech virun näischt dovun. Et bedeit just, datt d'Äusserst-Header net déi sinn, déi s du änderst. Budgetéier déi Reparaturarbecht, ier s du engem eng Inhaltssëmschreiwung versprichs.

Eng Interface-Opnam ass dat bëllegst Instrument an dëser Kategorie, an et ass eng Observatioun, keen Editeur. D'Leit verwiesselen déi zwee, well béid als Trafikkucke beschriwwe ginn, awer eng Opnam produzéiert eng Datei an e Paketwee produzéiert e Choix.

Applikatiounsännerungen gehéieren an d'Applikatioun

Wann d'Zil ass z'änneren, wat eng Ufro enthält oder wéi eng Äntwert geformt gëtt, ass déi richteg Plaz den Déngscht selwer oder e Proxy, deen de Protokoll bewosst ofschléisst. Déi Deeler verstinn schonn Ufroen, Äntwerten an d'Authentifizéierung, déi d'Applikatioun erwaart, an dat ass genee de Kontext, deen engem Pakettesfilter feelt.

D'Adressiwwersetzung steet aus engem Grond um Enn dëser Lëscht. Si schreift Adressen a Porten ëm a léisst d'Payload an Rou, also ass se keen Inhaltinstrument, egal wéi dacks se an engem Rezept optaucht, dat och Inhalt ernimmt.

Dës Grenzen ausernee ze halen ass dat, wat en Design erkläerbar mécht. Sessiounspolitik am Hook, Pakettebehandlung op engem Paketwee an Applikatiounsännerung do, wou de Protokoll bewosst ofgeschloss gëtt: dräi Sätz, déi och als Kontrolllëscht fir d'Iwwerpréiwung déngen.

Wou TLS nach ëmmer d'Gespréich ofschléisst

Eng Saach iwwerlieft alles hei uewen: den Trafik am Tunnel, deen HTTPS dréit, behält seng eege Transportsverschlësselung. D'Schlëssele vum VPN ze hunn gëtt der de bannenzege IP-Paket a gëtt der net d'Sessiounsschlëssele vun der Websäit um aneren Enn.

Dofir kann en Hook den Inhalt och am Prinzip net iwwerpréiwen, an dofir gesäit e Paketwee verschlësselten Text, ausser d'Deployment schléisst de bannenzege TLS bewosst of. Skriptkontrakt beschreift, wat den Hook kritt; en seet näischt iwwer d'Payload, well et keng Payload gëtt ze ginn.