Id-domain fronting mhuwiex VPN: żewġ ismijiet, talba waħda
Żewġ ismijiet f’talba HTTPS waħda mhumiex mina. Il-fronting jiddependi mill-regoli tal-instradar tal-fornitur; VPN jagħżel liema pakketti jivvjaġġaw. Iġbidhom separatament.
Iż-żewġ tekniki jiġu arkivjati flimkien għax it-tnejn jinvolvu intermedjarju u t-tnejn joħorġu bħal ħabi. Madankollu jaħdmu fuq oġġetti differenti. Id-domain fronting huwa dwar liema isem jidher f’liema saff ta’ talba HTTPS waħda. VPN huwa dwar liema pakketti jieħdu passaġġ partikolari lejn peer. Li ssejjaħ il-fronting tip ta’ VPN iwassal għal disinji li ma jistgħux jaħdmu, u għal reviżjonijiet li jagħmlu l-mistoqsija ħażina.
Żewġ ismijiet, żewġ saffi
Konnessjoni TLS tista’ ġġorr isem tas-server fil-handshake tagħha. Ladarba l-konnessjoni teżisti, it-talba HTTP tidentifika l-awtorità li trid, normalment fil-header Host. Dawn huma żewġ oqsma li jinqraw f’żewġ mumenti differenti minn żewġ partijiet differenti ta’ software.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Id-domain fronting jisfrutta differenza bejn l-ewwel tnejn biex servizz ta’ fronting jaċċetta l-konnessjoni u mbagħad jinstrada t-talba x’imkien ieħor. Jaħdem biss fejn dak is-servizz huwa lest li jinstradaha, u din hija kwistjoni ta’ politika tal-fornitur u mhux trick tal-protokoll.
Il-fronting jiddependi mill-fornitur, mhux mit-teknika
Bħala eżempju limitat, Mistoqsijiet frekwenti dwar Front Door Azure jiddokumenta protezzjonijiet kontra d-domain fronting. Jiddeskrivi nuqqas ta’ qbil permess għal dominji fl-istess abbonament u rotot ikkonfigurati, u risposta 421 Misdirected Request meta l-protezzjoni tan-nuqqas ta’ qbil timblokka talba.
Dik il-politika waħda dokumentata twaqqaż żewġ slogans f’daqqa. Mhux kull par ta’ ismijiet differenti jaħdem, u lanqas kull nuqqas ta’ qbil huwa pprojbit. Servizzi oħra għandhom il-verifiki tagħhom, ir-rekwiżiti ta’ implimentazzjoni tagħhom u l-kodiċijiet ta’ żball tagħhom.
Din mhijiex ukoll istruzzjoni biex tevita r-restrizzjonijiet ta’ netwerk ieħor. Li taqra r-regoli tal-instradar ta’ fornitur biex tifhem x’jippermetti hija ħidma ta’ arkitettura; li tittratta dawk ir-regoli bħala riċetta ta’ evitament hija attività oħra b’konsegwenzi oħra. Żomm dawn iż-żewġ attivitajiet separati fid-dokument li tkun qed tikteb. It-tieni waħda hija dik li tagħmel disinn jiġi miċħud f’reviżjoni.
X’jagħżel fil-fatt VPN
F’VPN tan-netwerk, l-instradar u l-politika tal-pjattaforma jagħżlu t-traffiku intern għal mina lejn peer. Skont l-arranġament dan jista’ jkopri diversi applikazzjonijiet jew sottoinsiemi definit, u jista’ jġorr protokolli li għandhom xejn talba HTTP.
Il-fronting ma jagħmel xejn minn dan. Li torganizza talba HTTPS waħda permezz ta’ servizz ta’ fronting ma jinstalla ebda rotta ta’ netwerk privat, ma jġorr ebda applikazzjoni UDP arbitrarja, u ma jagħmilx kull program fuq l-apparat juża s-servizz. Jekk għandek bżonn dak il-kopertura, għandek bżonn proxy jew mina, mhux trick ta’ ismijiet.
Huwa għalhekk li t-tnejn jiġu konfużi f’reviżjoni: it-tnejn huma deskritti bħala intermedjarji, u t-tnejn jidhru f’dokumenti dwar l-aċċess. L-interface li joffri kull wieħed hija kompletament differenti, u wieħed biss minnhom huwa passaġġ tan-netwerk.
Il-viżibilità mhijiex binarja
Lanqas il-paragun mhu sempliċement moħbi kontra viżibbli. Mistoqsijiet DNS, indirizzi tad-destinazzjoni, karatteristiċi tal-handshake, daqs tal-pakketti u ħin kollha jibqgħu osservabbli għal min jinsab fil-pożizzjoni li jarahom, u dak li jitgħallem dak l-osservatur jiddependi minn fejn qiegħed bilqiegħda.
Id-data tal-applikazzjoni hija wkoll viżibbli fil-punti tat-tmiem li jtemmuha. Servizz ta’ fronting li jinstrada t-talba tiegħek huwa wieħed minn dawk il-punti, u peer VPN huwa ieħor. L-ebda waħda miż-żewġ arranġamenti ma tagħmel il-kontenut opak għall-parti li trid taqrah biex taqdik.
Iġbed it-tliet kaxxi
Għal reviżjoni tal-arkitettura, iġbed il-punt tat-tmiem TLS, is-servizz tal-instradar HTTP u l-applikazzjoni finali bħala tliet kaxxi separati, imbagħad iġbed kwalunkwe peer VPN x’imkien ieħor mill-ġdid. Il-post li jagħżel destinazzjoni web u l-post li jġorr pakketti ta’ netwerk privat m’għandhomx għalfejn ikunu l-istess sistema, u normalment mhumiex.
Ladarba l-kaxxi jkunu separati, il-mistoqsijiet isiru jistgħu jiġu mwieġba: liema ismijiet jaċċetta dan il-fornitur, liema protokolli jeħtieġu trasport, u liema parti tista’ tara xiex. Dijagramma li tgħaqqadhom tipproduċi disinn li ħadd ma jista’ jimplimenta u reviżjoni li targumenta dwar il-vokabularju.