डोमेन फ्रंटिंग हे VPN नाही: दोन नावे, एक विनंती
एका HTTPS विनंतीतली दोन नावे बोगदा नाहीत. फ्रंटिंग पुरवठादाराच्या मार्गनिर्देशन नियमांवर अवलंबून असते; VPN कोणती पॅकेट जातात हे निवडते. ती वेगळी काढा.
या दोन्ही तंत्रे एकत्र ठेवली जातात कारण दोन्हीत एक मध्यस्थ असतो आणि दोन्ही लपवण्यासारखी वाटतात. पण ती वेगवेगळ्या वस्तूंवर काम करतात. डोमेन फ्रंटिंग म्हणजे एका HTTPS विनंतीच्या कोणत्या स्तरावर कोणते नाव दिसते हे. VPN म्हणजे कोणती पॅकेट एखाद्या विशिष्ट मार्गाने सहकार्‍याकडे जातात हे. फ्रंटिंगला VPN चा एक प्रकार म्हणणे अशा रचनांकडे नेते ज्या काम करू शकत नाहीत, आणि अशा पुनरावलोकनांकडे जी चुकीचा प्रश्न विचारतात.
दोन नावे, दोन स्तर
TLS जोडणी तिच्या हँडशेकमध्ये सर्व्हरचे नाव वाहू शकते. जोडणी तयार झाल्यावर, HTTP विनंती तिला हवे असलेले अधिकार ओळखते, सहसा Host हेडरमध्ये. ही दोन क्षेत्रे आहेत जी दोन वेगळ्या क्षणी दोन वेगळ्या सॉफ्टवेअर भागांकडून वाचली जातात.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
डोमेन फ्रंटिंग पहिल्या दोनमधील फरकाचा वापर करते जेणेकरून फ्रंटिंग सेवा जोडणी स्वीकारेल आणि नंतर विनंती दुसरीकडे पाठवेल. ते फक्त तिथेच चालते जिथे ती सेवा ते पाठवायला तयार असते, आणि हा प्रोटोकॉलचा युक्ती नसून पुरवठादाराच्या धोरणाचा प्रश्न आहे.
फ्रंटिंग तंत्रावर नाही, पुरवठादारावर अवलंबून असते
मर्यादित उदाहरण म्हणून, Front Door बद्दल वारंवार विचारले जाणारे प्रश्न Azure चे दस्तऐवज डोमेन फ्रंटिंगविरुद्धच्या संरक्षणांची नोंद करते. त्यात एकाच सदस्यत्वातील आणि संरचित मार्गांतील डोमेनसाठी परवानगी असलेली बेमेळ, आणि बेमेळ संरक्षण एखादी विनंती अडवते तेव्हा 421 Misdirected Request प्रतिसाद यांचे वर्णन आहे.
ती एकच नोंदवलेली धोरण एकाच वेळी दोन्ही घोषवाक्ये रद्द करते. वेगवेगळ्या नावांची प्रत्येक जोडी चालत नाही, आणि प्रत्येक बेमेळ बंदीही नाही. इतर सेवांकडे त्यांच्या स्वतःच्या तपासण्या, त्यांच्या स्वतःच्या तैनातीच्या गरजा आणि त्यांचे स्वतःचे त्रुटी कोड आहेत.
हे दुसऱ्या नेटवर्कच्या निर्बंधांना बगल देण्याची सूचना नाही. पुरवठादाराचे मार्गनिर्देशन नियम वाचून ते काय परवानगी देतात हे समजून घेणे हे स्थापत्याचे काम आहे; ते नियम बगल देण्याची कृती मानणे ही वेगळ्या परिणामांची वेगळी क्रिया आहे. तुम्ही लिहीत असलेल्या दस्तऐवजात या दोन क्रिया वेगळ्या ठेवा. पुनरावलोकनात रचना नाकारली जाण्याचे कारण दुसरेच आहे.
VPN प्रत्यक्षात काय निवडते
नेटवर्क VPN मध्ये, मार्गनिर्देशन आणि प्लॅटफॉर्म धोरण सहकार्‍याकडे जाणाऱ्या बोगद्यासाठी आंतरिक रहदारी निवडतात. रचनेनुसार ते अनेक अनुप्रयोग किंवा ठराविक उपसंच व्यापू शकते, आणि HTTP विनंतीच नसलेली प्रोटोकॉलही वाहू शकते.
फ्रंटिंग यापैकी काहीही करत नाही. फ्रंटिंग सेवेद्वारे एक HTTPS विनंती आखणे खाजगी नेटवर्क मार्ग स्थापित करत नाही, कोणतेही UDP अनुप्रयोग वाहत नाही, आणि उपकरणावरील प्रत्येक कार्यक्रमाला सेवा वापरण्यास भाग पाडत नाही. तुम्हाला ती व्याप्ती हवी असेल तर तुम्हाला प्रॉक्सी किंवा बोगदा हवा, नावाची युक्ती नाही.
म्हणूनच पुनरावलोकनात दोन्ही गोंधळतात: दोन्हीचे मध्यस्थ म्हणून वर्णन केले जाते, आणि दोन्ही प्रवेशाबद्दलच्या दस्तऐवजांत दिसतात. प्रत्येकी देते ते इंटरफेस पूर्णपणे वेगळे आहे, आणि त्यातील एकच नेटवर्क मार्ग आहे.
दृश्यमानता द्विमान नाही
तुलनाही केवळ लपलेले विरुद्ध दृश्यमान एवढी नाही. DNS प्रश्न, गंतव्य पत्ते, हँडशेकची वैशिष्ट्ये, पॅकेटचे आकार आणि वेळ हे सर्व त्यांना पाहण्याच्या स्थितीत असलेल्यांना निरीक्षणयोग्य राहतात, आणि त्या निरीक्षकाला काय कळते हे तो कुठे बसलेला आहे यावर अवलंबून असते.
अनुप्रयोगाचा डेटाही तो संपवणाऱ्या टोकांवर दिसतो. तुमची विनंती पाठवणारी फ्रंटिंग सेवा त्या टोकांपैकी एक आहे, आणि VPN सहकार्‍य दुसरे आहे. तुम्हाला सेवा देण्यासाठी तो वाचावा लागणाऱ्या पक्षाला दोन्ही रचना सामग्री अपारदर्शक करत नाहीत.
तीन खोके काढा
स्थापत्य पुनरावलोकनासाठी, TLS टोक, HTTP मार्गनिर्देशन सेवा आणि अंतिम अनुप्रयोग हे तीन वेगळी खोके म्हणून काढा, नंतर कोणतेही VPN सहकार्‍य पुन्हा दुसरीकडे काढा. वेब गंतव्य निवडणारी जागा आणि खाजगी नेटवर्कची पॅकेट वाहणारी जागा एकच प्रणाली असणे आवश्यक नाही, आणि सहसा तसे नसते.
खोके वेगळी झाल्यावर प्रश्नांना उत्तरे मिळतात: हा पुरवठादार कोणती नावे स्वीकारतो, कोणत्या प्रोटोकॉलना वाहतूक हवी, आणि कोणता पक्ष काय पाहू शकतो. जे आकृती त्यांना एकत्र करते ती अशी रचना निर्माण करते जी कोणीही अंमलात आणू शकत नाही, आणि असे पुनरावलोकन जे शब्दसंग्रहावरून भांडते.