Ang hook ng koneksyon ay patakaran ng sesyon, hindi filter ng packet

May gustong siyasatin ang ipinapadala ng mga kliyente sa lagusan, natagpuan ang hook ng koneksyon sa dokumentasyon at nagsimulang magsulat ng script na hindi kailanman makakatanggap ng kahit isang packet. Totoong at kapaki-pakinabang ang hook, ngunit ang yunit ng trabaho nito ay sesyon, hindi byte. Ang pagpili ng tamang bahagi ay paghahambing ng tatlong lugar kung saan maaaring mangyari ang trabaho, at ang pasyang tanong ay kung aling yunit ang tunay na nakikita ng bawat isa.

Ano ang tinatanggap ng hook, at ano ang hindi nito kailanman tinatanggap

Ang hook ng koneksyon ng kliyente ay tumatakbo nang isang beses kapag ang isang kliyenteng na-authenticate ay nagtatag ng sesyon, sa konteksto ng proseso ng server, na may dokumentadong mga argumento at mga halaga ng kapaligiran gaya ng karaniwang pangalan at itinalagang address. Maaari itong magsulat ng konfigurasyon bawat kliyente, gumawa ng desisyon sa pagtanggap, maglaan ng panlabas na mapagkukunan o magtala na nangyari ang koneksyon. Ang hindi nito magagawa ay obserbahan ang trapiko, dahil kapag tumawid ang unang packet sa lagusan ay nakabalik na ang hook.

Hindi ito limitasyong dapat iwasan. Ang callback ng sesyon na susubukang iproseso ang isang daloy ay kailangang tumakbo sa buong buhay ng koneksyon, at ang kontrata ng script ng daemon ay hindi ginawa para sa ganoong anyo. Itanong kung para saan ang hook bago magpasya na nakaharang ito.

Mahalaga rin ang mga muling pagkonekta. Ang kliyenteng bumagsak at muling kumonekta ay bagong sesyon, kaya lahat ng inilalaan ng hook ay dapat idempotent o kapares ng kaganapan ng pagkadiskonekta na naglilinis. Ang kalagayang tumutulo sa bawat muling pagkonekta ang karaniwang unang bug sa disenyong nakabatay sa hook.

Ang patakaran ng sesyon ay nasa hook

Ang pagtanggap ay natural na trabaho ng hook. Alam mo kung sino ang kumonekta, saan galing at sa anong sertipiko, at maaari mong pasyahan kung itutuloy o tatanggihan ang sesyong ito. Ang desisyong iyon ay mura, nangyayari nang isang beses, at hindi nangangailangan ng pagtingin sa kahit isang byte ng payload.

Ang paglalaan ng konfigurasyon ay umaangkop sa parehong anyo. Maaaring pumili ang hook ng address ng kliyente, magpadala ng mga opsyong angkop sa pagkakakilanlang iyon, o magsulat ng bahaging binabasa ng server para sa kliyenteng ito. Dahil bawat sesyon ang desisyon, nananatili itong naiintindihan kapag may nagkamali at may kailangang ipaliwanag kung bakit ang isang partikular na kliyente ay nakakuha ng isang partikular na address.

Ang pagtatala ay ang ikatlong angkop. Ang entry ng audit na nagsasabing tinanggap ang isang sesyon, kasama ang pagkakakilanlan at oras nito, ay nababagay nang eksakto rito. Hindi ito log ng trapiko at hindi dapat magpanggap na gayon. Kung may magtanong sa ibang pagkakataon kung ano ang ginawa ng kliyente sa loob ng lagusan, ang sagot ay dapat magmula sa ibang lugar.

Ang trabaho sa packet ay sa landas ng packet

Kung ang pangangailangan ay makita o mabago ang mga byte habang lumilipad, ang bahagi ay dapat nasa landas ng pagpapasa: panuntunan ng firewall na may pila, hook ng kontrol ng trapiko, o tagapasa sa espasyo ng gumagamit. Nakikita ng mga mekanismong iyon ang mga packet, at mayroon silang sariling kalagayan, sariling paraan ng pagpalya at sariling profile ng pagganap.

Ang pag-edit ng payload sa antas na iyon ay mas mahirap kaysa pagbasa nito. Ang pagbabago ng isang byte ay maaaring magpawalang-bisa ng field ng haba, checksum o makinang pangkalagayan ng protocol, at ang lagusan sa ikatlong antas ay hindi ka pinoprotektahan sa alinman sa mga iyon. Nangangahulugan lamang ito na ang mga panlabas na header ay hindi ang mga ine-edit mo. Maglaan ng badyet para sa pagpapagawang iyon bago mangako ng muling pagsulat ng nilalaman sa kahit sino.

Ang pagkuha sa interface ay ang pinakamurang kasangkapan sa kategoryang ito, at ito ay pagmamasid, hindi editor. Pinagpapalit ng mga tao ang dalawa dahil parehong inilalarawan bilang pagtingin sa trapiko, ngunit ang pagkuha ay gumagawa ng file at ang landas ng packet ay gumagawa ng desisyon.

Ang mga pagbabago sa aplikasyon ay sa aplikasyon

Kapag ang layunin ay baguhin ang nilalaman ng kahilingan o kung paano nabubuo ang tugon, ang tamang lugar ay ang serbisyo mismo o isang proxy na sinasadyang tinatapos ang protocol. Naiintindihan na ng mga bahaging iyon ang mga kahilingan, tugon at ang pagpapatunay na inaasahan ng aplikasyon, at iyon mismo ang kontekstong kulang sa isang filter ng packet.

Ang pagsasalin ng address ay nasa ilalim ng listahang ito sa isang dahilan. Muli nitong isinusulat ang mga address at port at hinahayaang mapayapa ang payload, kaya hindi ito kasangkapan sa nilalaman gaano man kadalas itong lumitaw sa isang resipe na binabanggit din ang nilalaman.

Ang paghihiwalay ng mga hangganang ito ang nagpapaliwanag sa isang disenyo. Patakaran ng sesyon sa hook, paghawak ng packet sa landas ng packet, at pagbabago sa aplikasyon kung saan sinasadyang tinatapos ang protocol: tatlong pangungusap na nagsisilbi ring checklist para sa pagsusuri.

Kung saan tinatapos pa rin ng TLS ang usapan

Isang bagay ang nakakaligtas sa lahat ng nasa itaas: ang trapiko sa loob ng lagusan na nagdadala ng HTTPS ay pinapanatili ang sariling enkripsyon ng transportasyon. Ang pagkakaroon ng mga susi ng VPN ay nagbibigay sa iyo ng panloob na packet ng IP at hindi nagbibigay ng mga susi ng sesyon ng website sa kabilang dulo.

Kaya hindi maaaring siyasatin ng hook ang nilalaman kahit sa prinsipyo, at kaya nakikita ng landas ng packet ang naka-encrypt na teksto maliban kung sadyang tinatapos ng deployment ang panloob na TLS. kontrata ng script inilalarawan kung ano ang ibinibigay sa hook; wala itong sinasabi tungkol sa payload dahil walang payload na maibibigay.