Domain Fronting ass keng VPN: zwéin Nimm, eng Ufro
Zwéin Nimm an enger HTTPS-Ufro sinn keen Tunnel. Fronting hänkt vun de Routing-Reegelen vum Anbieter of; eng VPN wielt, wéi eng Pakete reesen. Zeechnen se getrennt.
Déi zwou Technike ginn zesumme klasséiert, well béid en Intermédiaire involvéieren a béid no Verstoppen kléngen. Si schaffen awer op ënnerschiddlechen Objeten. Domain Fronting geet drëm, wéi en Numm op wéi enger Schicht vun enger HTTPS-Ufro erschéngt. Eng VPN geet drëm, wéi eng Pakete en bestëmmte Wee bis zu engem Peer huelen. Fronting eng Zort VPN ze nennen, féiert zu Konzepter, déi net kënne funktionéieren, an zu Iwwerpréiwungen, déi déi falsch Fro stellen.
Zwéin Nimm, zwou Schichten
Eng TLS-Verbindung kann e Servernumm an hirem Handshake droen. Soubal d Verbindung besteet, identifizéiert d HTTP-Ufro d Autoritéit, déi se wëll, meeschtens am Host-Header. Dat sinn zwee Felder, déi zu zwou verschiddenen Zäiten vun zwee verschiddene Softwaredeeler gelies ginn.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Domain Fronting notzt en Ënnerscheed tëscht den éischten zwou aus, sou datt e Fronting-Service d Verbindung unhëlt an d Ufro duerno anzwousch anescht leet. Et funktionéiert nëmmen do, wou dee Service bereet ass, se ze leeden, an dat ass eng Fro vun der Politik vum Anbieter an net en Trick vum Protokoll.
Fronting hänkt vum Anbieter of, net vun der Technik
Als begrenzt Beispill, de Guide Front Door FAQ vun Azure dokumentéiert de Schutz géint Domain Fronting. Hie beschreift eng erlaabte Net-iwwereneestëmmung fir Domainen an der selwechter Abonnement an a konfiguréierte Route, an eng 421 Misdirected Request-Antwert, wann de Schutz géint Net-iwwereneestëmmung eng Ufro blockéiert.
Déi eenzeg dokumentéiert Politik hëlt béid Sloganen op eemol ewech. Net all Pair vu verschiddenen Nimm funktionéiert, an net all Net-iwwereneestëmmung ass verbueden. Aner Servicer hunn hir eegen Iwwerpréiwungen, hir eegen Deployementsfuerderungen an hir eegen Feeler-Coden.
Et ass och keng Uweisung, fir d Restriktioune vun engem aneren Netzwierk ze ëmgoen. D Routing-Reegelen vun engem Anbieter liesen, fir ze verstoen, wat e permitéiert, ass Architektur-Aarbecht; dës Reegele wéi eng Ëmgee-Rezept ze behandelen ass eng aner Aktivitéit mat aneren Konsequenzen. Halt déi zwou Aktivitéiten an deem Dokument, dat Dir schreift, getrennt. Déi zweet ass déi, déi en Design an der Iwwerpréiwung duerchfale léisst.
Wat eng VPN tatsächlech auswielt
An enger Netzwierk-VPN wielt d Routing an d Plattformspolitik den internen Traffic fir en Tunnel bis zu engem Peer. Jee no Arrangement kann dat verschidden Applikatiounen oder eng definéiert Deelquantitéit decken, an et kann Protokoller droen, déi guer keng HTTP-Ufro hunn.
Fronting mécht näischt vun deem. Eng HTTPS-Ufro iwwer e Fronting-Service arrangéieren installéiert keng Privatnetzwierk-Route, dréit keng arbiträre UDP-Applikatiounen an et mécht net, datt all Programm um Apparat de Service benotzt. Wann Dir déi Deckung braucht, braucht Dir e Proxy oder en Tunnel, keen Numm-Trick.
Dofir ginn déi zwou an der Iwwerpréiwung verwiesselt: béid ginn als Intermédiairen beschriwwen, a béid erschéngen an Dokumenter iwwer Zougang. D Schnittstell, déi jiddweree bitt, ass komplett aneschters, an nëmmen eng vun hinnen ass en Netzwierkwee.
Visibilitéit ass net binär
De Verglach ass och net just verstoppt géint sichtbar. DNS-Ufroen, Destinatiounsadressen, Handshake-Eegenschaften, Paketgréissten an Timing bleiwen all observabel fir een, dee an der Positioun ass, se ze gesinn, a wat deen Observateur léiert, hänkt dovun of, wou hie sëtzt.
Applikatiounsdaten sinn och sichtbar bei den Endpunkten, déi se terminéieren. En Fronting-Service, deen Är Ufro leet, ass ee vun deenen Endpunkten, an e VPN-Peer ass en aneren. Keng vun den zwou Arrangementer mécht den Inhalt fir déi Partei ondurchsiichteg, déi en liese muss, fir Iech ze déngen.
Zeechent déi dräi Këschten
Fir eng Architektur-Iwwerpréiwung, zeechent den TLS-Endpunkt, den HTTP-Routing-Service an d Schlussapplikatioun als dräi getrennt Këschten, an zeechent duerno all VPN-Peer nach eng Kéier anzwousch anescht. D Plaz, déi en Webdestinatioun auswielt, an d Plaz, déi Pakete vun engem Privatnetzwierk transportéiert, mussen net dat selwecht System sinn, an sinn et meeschtens net.
Soubal d Këschten getrennt sinn, ginn d Froen beäntwertbar: wéi eng Nimm akzeptéiert dësen Anbieter, wéi eng Protokoller brauchen Transport, a wéi eng Partei kann wat gesinn. En Diagramm, deen se verschmëlzt, produzéiert en Design, deen keen ëmsetze kann, an eng Iwwerpréiwung, déi iwwer Vokabular streit.