Domain fronting nuk është VPN: dy emra, një kërkesë
Dy emra në një kërkesë HTTPS nuk janë tunel. Fronting varet nga rregullat e rrugëtimit të ofruesit; një VPN zgjedh cilat paketa udhëtojnë. Vizatoji veçmas.
Dy teknikat arkivohen bashkë sepse të dyja përfshijnë një ndërmjetës dhe të dyja tingëllojnë si fshehje. Megjithatë veprojnë mbi objekte të ndryshme. Domain fronting ka të bëjë me atë se cili emër shfaqet në cilën shtresë të një kërkese HTTPS. VPN ka të bëjë me atë se cilat paketa marrin një rrugë të caktuar drejt një peer. Ta quash fronting një lloj VPN çon në dizajne që nuk mund të funksionojnë dhe në rishikime që bëjnë pyetjen e gabuar.
Dy emra, dy shtresa
Një lidhje TLS mund të mbajë një emër serveri në handshake-un e saj. Pasi lidhja ekziston, kërkesa HTTP identifikon autoritetin që dëshiron, zakonisht në header-in Host. Këto janë dy fusha që lexohen në dy momente të ndryshme nga dy pjesë të ndryshme softuerike.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Domain fronting shfrytëzon një ndryshim midis dy të parëve, kështu që një shërbim fronting pranon lidhjen dhe më pas e drejton kërkesën diku tjetër. Funksionon vetëm aty ku shërbimi është i gatshëm ta drejtojë, dhe kjo është çështje politike e ofruesit, jo një hile protokolli.
Fronting varet nga ofruesi, jo nga teknika
Si shembull i kufizuar, Pyetjet e shpeshta për Front Door dokumentacioni i Azure përshkruan mbrojtjet kundër domain fronting. Ai përshkruan një mospërputhje të lejuar për domenet brenda të njëjtit abonim dhe rrugëve të konfiguruara, dhe një përgjigje 421 Misdirected Request kur mbrojtja e mospërputhjes bllokon një kërkesë.
Ajo politikë e vetme e dokumentuar rrëzon të dyja parullat njëherësh. Nuk funksionon çdo çift emrash të ndryshëm dhe nuk është e ndaluar çdo mospërputhje. Shërbimet e tjera kanë kontrollet e tyre, kërkesat e tyre të vendosjes dhe kodet e tyre të gabimit.
Nuk është as një udhëzim për të anashkaluar kufizimet e një rrjeti tjetër. Të lexosh rregullat e rrugëtimit të një ofruesi për të kuptuar çfarë lejon është punë arkitekture; t’i trajtosh ato rregulla si recetë anashkalimi është aktivitet tjetër me pasoja të tjera. Mbaji këto dy aktivitete të ndara në dokumentin që shkruan. Është e dyta ajo që bën që një dizajn të refuzohet në rishikim.
Çfarë zgjedh në të vërtetë një VPN
Në një VPN rrjeti, rrugëtimi dhe politika e platformës zgjedhin trafikun e brendshëm për një tunel drejt një peer. Në varësi të rregullimit kjo mund të mbulojë disa aplikacione ose një nëngrup të përcaktuar, dhe mund të mbajë protokolle që nuk kanë fare kërkesë HTTP.
Fronting nuk bën asgjë nga këto. Organizimi i një kërkese HTTPS përmes një shërbimi fronting nuk instalon një rrugë rrjeti privat, nuk mbart aplikacione UDP arbitrare dhe nuk bën që çdo program në pajisje të përdorë shërbimin. Nëse ju nevojitet ai mbulim, ju nevojitet një proxy ose një tunel, jo një hile emri.
Kjo është arsyeja pse të dyja ngatërrohen në rishikim: të dyja përshkruhen si ndërmjetës, dhe të dyja shfaqen në dokumente rreth aksesit. Ndërfaqja që ofron secili është krejtësisht e ndryshme, dhe vetëm njëra prej tyre është rrugë rrjeti.
Dukshmëria nuk është binare
As krahasimi nuk është thjesht i fshehur kundrejt i dukshëm. Kërkesat DNS, adresat e destinacionit, veçoritë e handshake-ut, madhësitë e paketave dhe kohëzgjatja mbeten të gjitha të vëzhgueshme për këdo që ndodhet në pozicion për t’i parë, dhe çfarë mëson ai vëzhgues varet nga ku është ulur.
Të dhënat e aplikacionit janë gjithashtu të dukshme në pikat fundore që i përfundojnë ato. Një shërbim fronting që drejton kërkesën tuaj është një nga ato pika, dhe një peer VPN është një tjetër. Asnjë nga rregullimet nuk e bën përmbajtjen të errët për palën që duhet ta lexojë për t’ju shërbyer.
Vizato tri kutitë
Për një rishikim arkitekture, vizato pikën fundore TLS, shërbimin e rrugëtimit HTTP dhe aplikacionin përfundimtar si tri kuti të veçanta, pastaj vizato çdo peer VPN diku tjetër përsëri. Vendi që zgjedh një destinacion web dhe vendi që transporton paketa të rrjetit privat nuk duhet të jenë i njëjti sistem, dhe zakonisht nuk janë.
Pasi kutitë janë të ndara, pyetjet bëhen të përgjigjshme: cilat emra pranon ky ofrues, cilat protokolle kanë nevojë për transport dhe cila palë mund të shohë çfarë. Një diagram që i shkrin ato prodhon një dizajn që askush nuk mund ta zbatojë dhe një rishikim që grindet për fjalorin.