Домэйн фронтлалт бол VPN биш: хоёр нэр, нэг хүсэлт
Нэг HTTPS хүсэлт дэх хоёр нэр туннель биш. Фронтлалт нь үйлчилгээ үзүүлэгчийн чиглүүлэлтийн дүрмээс хамаарна; VPN аль пакет явахыг сонгоно. Тэдгээрийг тусад нь зур.
Энэ хоёр арга нь хоёулаа зуучлагч оролцуулдаг, хоёулаа нуух мэт сонсогддог учраас нэг хавтсанд хийгддэг. Гэхдээ тэд өөр өөр объект дээр ажилладаг. Домэйн фронтлалт нь нэг HTTPS хүсэлтийн аль давхаргад аль нэр гарч байгаа тухай. VPN нь аль пакет тодорхой замаар хамтрагч руу явж байгаа тухай. Фронтлалтыг VPN-ийн нэг төрөл гэж нэрлэх нь ажиллах боломжгүй загвар, буруу асуулт тавьдаг хяналтад хүргэдэг.
Хоёр нэр, хоёр давхарга
TLS холболт гар барилтынхаа үеэр серверийн нэрийг авч явж болно. Холболт үүссэний дараа HTTP хүсэлт нь хүссэн эрх мэдлээ тодорхойлдог, ихэвчлэн Host толгойд. Эдгээр нь хоёр өөр агшинд хоёр өөр програмын хэсэг уншдаг хоёр талбар юм.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Домэйн фронтлалт эхний хоёрын хоорондох ялгааг ашиглан фронтлалтын үйлчилгээ холболтыг хүлээн авч, дараа нь хүсэлтийг өөр тийш чиглүүлдэг. Энэ нь тухайн үйлчилгээ чиглүүлэхийг зөвшөөрсөн газарт л ажилладаг бөгөөд энэ нь протоколын заль мэх биш, үйлчилгээ үзүүлэгчийн бодлогын асуудал юм.
Фронтлалт аргаас биш, үйлчилгээ үзүүлэгчээс хамаарна
Хязгаарлагдмал жишээ болгон, Front Door-ын түгээмэл асуултууд Azure-ийн гарын авлага домэйн фронтлалтын эсрэг хамгаалалтыг баримтжуулдаг. Энэ нь нэг захиалга болон тохируулсан чиглэлийн доторх домэйнуудад зөвшөөрөгдсөн зөрүү, мөн зөрүүний хамгаалалт хүсэлтийг блоклох үед 421 Misdirected Request хариуг тайлбарладаг.
Тэр нэг баримтжуулсан бодлого нь хоёр уриа лоозыг зэрэг хүчингүй болгодог. Өөр өөр нэрсийн бүх хос ажилладаггүй, мөн бүх зөрүү хориотой биш. Бусад үйлчилгээнүүд өөрийн шалгалт, өөрийн байршуулалтын шаардлага, өөрийн алдааны кодтой.
Энэ нь өөр сүлжээний хязгаарлалтыг тойрох заавар ч биш. Үйлчилгээ үзүүлэгчийн чиглүүлэлтийн дүрмийг уншиж, юуг зөвшөөрдөгийг ойлгох нь архитектурын ажил; тэдгээр дүрмийг тойрог замын жор гэж үзэх нь өөр үр дагавартай өөр үйл ажиллагаа юм. Бичиж буй баримт бичигт энэ хоёр үйл ажиллагааг тусад нь байлга. Хяналтад төслийг няцаахад хүргэдэг нь хоёр дахь нь.
VPN үнэндээ юу сонгодог
Сүлжээний VPN-д чиглүүлэлт болон платформын бодлого нь хамтрагч руу чиглэсэн туннельд дотоод урсгалыг сонгодог. Зохион байгуулалтаас хамааран энэ нь хэд хэдэн програмыг эсвэл тодорхой дэд олонлогийг хамарч болох бөгөөд HTTP хүсэлт огт байхгүй протоколуудыг ч зөөж болно.
Фронтлалт эдгээрийн аль нэгийг ч хийдэггүй. Фронтлалтын үйлчилгээгээр нэг HTTPS хүсэлтийг зохион байгуулах нь хувийн сүлжээний чиглэл суулгахгүй, дур мэдэн UDP програмыг зөөхгүй, төхөөрөмж дээрх бүх програмыг үйлчилгээг ашиглахад хүргэхгүй. Хэрэв танд ийм хамрах хүрээ хэрэгтэй бол танд прокси эсвэл туннель хэрэгтэй, нэрийн заль биш.
Тиймээс хяналтад энэ хоёр холилддог: хоёуланг нь зуучлагч гэж дүрсэлдэг, хоёулаа хандалтын тухай баримт бичигт гардаг. Тус бүрийн санал болгодог интерфэйс нь огт өөр бөгөөд зөвхөн нэг нь сүлжээний зам юм.
Харагдах байдал нь хоёртын биш
Харьцуулалт нь зөвхөн нуугдсан эсрэг харагдах биш. DNS асуулга, очих хаяг, гар барилтын шинж чанар, пакетийн хэмжээ, цаг хугацаа бүгд тэдгээрийг харах байрлалд байгаа хүнд ажиглагдах хэвээр үлддэг бөгөөд тэр ажиглагч юу мэдэх нь түүний хаана сууж байгаагаас хамаарна.
Програмын өгөгдөл нь түүнийг дуусгадаг төгсгөлийн цэгүүдэд ч харагддаг. Таны хүсэлтийг чиглүүлдэг фронтлалтын үйлчилгээ нь тэдгээр цэгийн нэг, харин VPN хамтрагч нь нөгөө нь. Аль ч зохион байгуулалт нь танд үйлчлэхийн тулд агуулгыг унших ёстой талд агуулгыг тунгалаг бус болгодоггүй.
Гурван хайрцгийг зур
Архитектурын хяналтад TLS-ийн төгсгөлийн цэг, HTTP чиглүүлэлтийн үйлчилгээ, эцсийн програмыг гурван тусдаа хайрцаг болгон зур, дараа нь аливаа VPN хамтрагчийг дахин өөр газар зур. Вэб очих газрыг сонгодог газар болон хувийн сүлжээний пакетыг зөөдөг газар нь нэг систем байх шаардлагагүй бөгөөд ихэвчлэн байдаггүй.
Хайрцгууд тусдаа болсны дараа асуултуудад хариулах боломжтой болно: энэ үйлчилгээ үзүүлэгч ямар нэрийг хүлээн авдаг, ямар протокол зөөх шаардлагатай, аль тал юуг харж чадах вэ. Тэдгээрийг нэгтгэсэн диаграм нь хэн ч хэрэгжүүлж чадахгүй загвар, үг хэллэгийн талаар маргалддаг хяналтыг бий болгодог.