Domenų frontingas nėra VPN: du vardai, viena užklausa
Du vardai vienoje HTTPS užklausoje nėra tunelis. Frontingas priklauso nuo teikėjo maršrutizavimo taisyklių; VPN pasirenka, kurie paketai keliauja. Nubrėžkite juos atskirai.
Šios dvi technikos dedamos į vieną lentyną, nes abi apima tarpininką ir abi skamba kaip slėpimasis. Tačiau jos veikia skirtingus objektus. Domenų frontingas yra apie tai, kuris vardas pasirodo kuriame vienos HTTPS užklausos sluoksnyje. VPN yra apie tai, kurie paketai eina tam tikru keliu iki partnerio. Vadinti frontingą VPN rūšimi veda prie projektų, kurie negali veikti, ir prie apžvalgų, kurios užduoda neteisingą klausimą.
Du vardai, du sluoksniai
TLS ryšys gali savo rankos paspaudime nešti serverio vardą. Kai ryšys egzistuoja, HTTP užklausa nurodo norimą valdžią, paprastai Host antraštėje. Tai du laukai, kuriuos skirtingu metu skaito dvi skirtingos programinės įrangos dalys.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Domenų frontingas pasinaudoja skirtumu tarp pirmųjų dviejų, kad frontingo paslauga priimtų ryšį ir tada nukreiptų užklausą kitur. Tai veikia tik ten, kur ta paslauga sutinka ją nukreipti, o tai yra teikėjo politikos klausimas, o ne protokolo triukas.
Frontingas priklauso nuo teikėjo, o ne nuo technikos
Kaip ribotą pavyzdį, Front Door FAQ Azure vadovas dokumentuoja apsaugą nuo domenų frontingo. Jame aprašomas leistinas neatitikimas domenams toje pačioje prenumeratoje ir sukonfigūruotuose maršrutuose, ir 421 Misdirected Request atsakymas, kai neatitikimo apsauga blokuoja užklausą.
Ši viena dokumentuota politika iš karto panaikina abu šūkius. Ne kiekviena skirtingų vardų pora veikia, ir ne kiekvienas neatitikimas yra draudžiamas. Kitos paslaugos turi savo patikras, savo diegimo reikalavimus ir savo klaidų kodus.
Tai taip pat nėra instrukcija, kaip apeiti kitos tinklo apribojimus. Skaityti teikėjo maršrutizavimo taisykles, siekiant suprasti, ką jis leidžia, yra architektūros darbas; laikyti tas taisykles apėjimo receptu yra kita veikla su kitomis pasekmėmis. Laikykite šias dvi veiklas atskirai dokumente, kurį rašote. Antroji yra tai, dėl ko projektas atmetamas apžvalgoje.
Ką VPN iš tikrųjų pasirenka
Tinklo VPN atveju maršrutizavimas ir platformos politika parenka vidinį srautą tuneliui iki partnerio. Priklausomai nuo išdėstymo tai gali apimti kelias programas arba apibrėžtą poaibį, ir gali perduoti protokolus, kurie visiškai neturi HTTP užklausos.
Frontingas nieko iš to nedaro. Vienos HTTPS užklausos organizavimas per frontingo paslaugą neįdiegia privataus tinklo maršruto, neperduoda savavališkų UDP programų ir nepriverčia kiekvienos įrenginio programos naudotis paslauga. Jei jums reikia tokios aprėpties, jums reikia tarpinio serverio arba tunelio, o ne vardo triuko.
Štai kodėl apžvalgoje šios dvi painiojamos: abi apibūdinamos kaip tarpininkai, ir abi pasirodo dokumentuose apie prieigą. Sąsaja, kurią kiekviena siūlo, yra visiškai skirtinga, ir tik viena iš jų yra tinklo kelias.
Matomumas nėra dvejetainis
Palyginimas taip pat nėra tiesiog paslėpta prieš matoma. DNS užklausos, paskirties adresai, rankos paspaudimo ypatybės, paketų dydžiai ir laikas išlieka stebimi tam, kuris yra padėtyje juos matyti, ir tai, ko tas stebėtojas išmoksta, priklauso nuo to, kur jis sėdi.
Programos duomenys taip pat matomi tuose galiniuose taškuose, kurie juos užbaigia. Frontingo paslauga, kuri nukreipia jūsų užklausą, yra vienas iš tų taškų, o VPN partneris yra kitas. Nei viena iš šių schemų nepadaro turinio nepermatomu tai šaliai, kuri turi jį perskaityti, kad jums paslaugautų.
Nubrėžkite tris dėžes
Architektūros apžvalgai nubrėžkite TLS galinį tašką, HTTP maršrutizavimo paslaugą ir galutinę programą kaip tris atskiras dėžes, o tada nubrėžkite bet kurį VPN partnerį dar kur nors kitur. Vieta, kuri pasirenka žiniatinklio paskirtį, ir vieta, kuri perduoda privataus tinklo paketus, neturi būti ta pati sistema, ir paprastai nėra.
Kai dėžės atskirtos, klausimai tampa atsakomi: kuriuos vardus šis teikėjas priima, kuriems protokolams reikia perdavimo ir kuri šalis ką gali matyti. Diagrama, kuri juos sujungia, sukuria projektą, kurio niekas negali įgyvendinti, ir apžvalgą, kuri ginčijasi dėl žodyno.