Домејн фронтовање није VPN: два имена, један захтев
Два имена у једном HTTPS захтеву нису тунел. Фронтовање зависи од правила рутирања провајдера; VPN бира који пакети иду. Нацртајте их одвојено.
Две технике се сврставају заједно јер обе укључују посредника и обе звуче као скривање. Али раде на различитим објектима. Домејн фронтовање се односи на то које име се појављује на ком слоју једног HTTPS захтева. VPN се односи на то који пакети иду одређеним путем до партнера. Назвати фронтовање врстом VPN-а води до пројеката који не могу да раде и до прегледа који постављају погрешно питање.
Два имена, два слоја
TLS веза може да носи име сервера у свом руковању. Када веза постоји, HTTP захтев идентификује ауторитет који жели, обично у заглављу Host. То су два поља која се читају у два различита тренутка од стране два различита дела софтвера.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Домејн фронтовање користи разлику између прва два, тако да сервис фронтовања прихвати везу и затим усмери захтев негде другде. То ради само тамо где је тај сервис спреман да га усмери, а то је питање политике провајдера, а не протоколарног трика.
Фронтовање зависи од провајдера, а не од технике
Као ограничен пример, Често постављана питања о Front Door Azure документација описује заштите од домејн фронтовања. Описује дозвољену неусаглашеност за домене унутар исте претплате и конфигурисаних рута, и одговор 421 Misdirected Request када заштита од неусаглашености блокира захтев.
Та једна документована политика укида оба слогана одједном. Не ради сваки пар различитих имена, а ни свака неусаглашеност није забрањена. Други сервиси имају своје провере, своје захтеве за распоређивање и своје кодове грешака.
То такође није упутство за заобилажење ограничења друге мреже. Читање правила рутирања провајдера да би се разумело шта дозвољава јесте архитектонски посао; третирање тих правила као рецепта за заобилажење је друга активност са другим последицама. Држите те две активности одвојено у документу који пишете. Друга је она због које дизајн бива одбијен на прегледу.
Шта VPN заправо бира
У мрежном VPN-у, рутирање и политика платформе бирају унутрашњи саобраћај за тунел до партнера. У зависности од распореда то може да покрије неколико апликација или дефинисан подскуп, и може да носи протоколе који уопште немају HTTP захтев.
Фронтовање не ради ништа од тога. Организовање једног HTTPS захтева кроз сервис фронтовања не инсталира руту до приватне мреже, не носи произвољне UDP апликације и не присиљава сваки програм на уређају да користи сервис. Ако вам треба такав обухват, треба вам прокси или тунел, а не трик са именом.
Зато се то двоје брка на прегледу: оба се описују као посредници и оба се појављују у документима о приступу. Интерфејс који сваки нуди потпуно је различит, а само један од њих је мрежни пут.
Видљивост није бинарна
Ни поређење није просто скривено наспрам видљивог. DNS упити, одредишне адресе, карактеристике руковања, величине пакета и тајминг све остаје уочљиво ономе ко је у позицији да их види, а оно што тај посматрач научи зависи од тога где се налази.
Подаци апликације су такође видљиви на крајњим тачкама које их прекидају. Сервис фронтовања који усмерава ваш захтев једна је од тих тачака, а VPN партнер је друга. Ниједан распоред не чини садржај непрозирним за страну која га мора прочитати да би вам послужила.
Нацртајте три кутије
За архитектонски преглед нацртајте TLS крајњу тачку, HTTP сервис за рутирање и коначну апликацију као три одвојене кутије, а затим нацртајте било ког VPN партнера опет негде другде. Место које бира веб одредиште и место које преноси пакете приватне мреже не морају бити исти систем, и обично нису.
Када су кутије одвојене, питања постају одговорљива: која имена овај провајдер прихвата, који протоколи требају пренос и која страна може шта да види. Дијаграм који их спаја производи дизајн који нико не може да примени и преглед који се свађа око речника.