E VPN kann CORS net ausschalten, en ännert d’Äntwert

Fänkt domat un, zwou Saachen ze trennen, déi sech gläichzäiteg geännert hunn: den Netzwierkwee an d’Duerchsetzung vum Browser. E VPN ännert d’Ausgangsadress; et ännert net den Hierkunn vun der Säit, deen aus Schema, Host a Port besteet. Wann d’Ufro elo geléngt, huet sech eppes an der Äntwert geännert, oder d’Ufro selwer huet sech geännert. Erauszefannen, wat vun deenen zwee, ass déi ganz Enquête.

CORS ass en Häipterprotokoll, deen de Browser duerchsetzt, dofir kann näischt um Netzwierkwee en ausschalten.

Den Hierkunn ass keng IP-Adress

En Hierkunn ass e Schema, en Host an e Port. Et ass net d’Adress, vun där d’Pakete fortginn, an et ass net d’IP, déi de Server gesäit. Dofir kann e VPN all observéierbar Adress änneren an den Hierkunn identesch loossen. De Browser vergläicht den Access-Control-Allow-Origin vun der Äntwert mam Hierkunn vun der Säit, an d’Ausgangsadress kënnt ni an dee Verglach.

Also mécht eng Extensioun oder e Proxy, deen eng CORS-Feeler ze flécken schéngt, eppes anescht: en iwwerschreift Häipter oder leet d’Ufro esou ëm, datt se net méi iwwer den Hierkunn geet. Béides ass keng Eegenschaft vum VPN.

Wat de Browser tatsächlech schéckt

Bei enger Ufro iwwer den Hierkunn, déi net einfach ass, schéckt de Browser fir d’éischt eng Virprüfung OPTIONS, déi déi virgesinn Method an Häipter dréit. De Server muss mat de Berufflechkeeten äntwerten, déi en erlaabt, an déi richteg Ufro kënnt nëmmen, wann déi Äntwert d’Regelen erfëllt. E VPN ännert de Wee, dee béid Austausch dréit, a kann änneren, wat Mëttelservicer äntwerten. Et ännert net de String vum Hierkunn oder d’Ufuerderung vun der Virprüfung.

E Kommandozeil-Client weist meeschtens näischt vun deem. En schéckt vläicht keen Origin-Häipter, spréngt dacks d’Virprüfung, a kann aner Umeldungsinformatiounen droen. E Kierper, deen un curl zréckgëtt, beweist, datt de Server curl geäntwert huet.

Fannt d’Äntwert, déi sech geännert huet

Vergläicht déi tatsächlech Äntwert iwwer all Wee, net nëmmen de Statuscode. Kuckt op d’Häipter, déi CORS-Berufflechkeeten droen, den Inhaltstyp, all Ëmleitung, an ob eng WAF- oder CDN-Variant eng aner Säit erstallt huet. Eng regional Oflehnung, eng Authentiséierungs-Ëmleitung oder eng Feelsäit ouni den Erlaabnishäipter feelen all am Browser, wärend se wéi e CORS-Fehler ausgesinn. Dat sinn Ënnerscheeder am Liwwerwee, an déi missten dokumentéiert ginn.

Huelt d’Äntwerthäipter vun de béide Weeër op a vergläicht se Linn fir Linn. Wann den eenzegen Ënnerscheed deen feelenden Access-Control-Allow-Origin op enger Feelsäit ass, hutt Dir d’Ursaach fonnt.

Fléckt de Service, net d’Duerchsetzung

Wann de Service Ären ass, nennt déi erlaabt Hierkünft an d’Ufrofunktiounen ausdrécklech, a liest dann d’Feeler, déi säi Frontend a seng Zwëscheninstanze produzéieren. Wann net, schéckt dem Servicebesëtzer e gereinegte Verglach. Huelt ni Cookies, Autorisatiounshäipter oder Sessiounsexporten an dee Bericht op, well dat sinn d’Umeldungsinformatiounen, déi d’Politik existéiert fir ze schützen.

Vermeit Browser-Extensiounen, déi CORS ausschalten. Si änneren d’Sécherheetsgrenz, wärend se den Äntwertënnerscheed verstoppen, dee muss erklärt ginn, a si loossen dee selwechte Feeler fir all aneren Nozesser stoen.

Huelt béid Äntwerten op, den Hierkunn, deen benotzt gouf, an de Wee, dee geholl gouf. Dee Rekord mécht aus engem VPN-Gerücht e Servicefeeler.