Ang domain fronting ay hindi VPN: dalawang pangalan, isang kahilingan
Ang dalawang pangalan sa isang kahilingang HTTPS ay hindi tunnel. Ang fronting ay nakadepende sa mga tuntunin ng routing ng provider; pinipili ng VPN kung aling mga packet ang bumibiyahe. Iguhit silang magkahiwalay.
Ang dalawang teknikang ito ay inihaharap nang magkasama dahil parehong may tagapamagitan at parehong parang pagtatago. Pero gumagana sila sa magkaibang bagay. Ang domain fronting ay tungkol sa kung aling pangalan ang lumilitaw sa aling layer ng isang kahilingang HTTPS. Ang VPN ay tungkol sa kung aling mga packet ang dumadaan sa isang partikular na landas patungo sa peer. Ang tawagin ang fronting na isang uri ng VPN ay humahantong sa mga disenyong hindi maaaring gumana, at sa mga pagsusuring nagtatanong ng maling tanong.
Dalawang pangalan, dalawang layer
Ang koneksyon ng TLS ay maaaring magdala ng pangalan ng server sa handshake nito. Kapag umiiral na ang koneksyon, tinutukoy ng kahilingang HTTP ang awtoridad na gusto nito, kadalasan sa header na Host. Ito ay dalawang field na binabasa sa dalawang magkaibang sandali ng dalawang magkaibang piraso ng software.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Sinasamantala ng domain fronting ang pagkakaiba ng unang dalawa kaya tinatanggap ng serbisyong fronting ang koneksyon at pagkatapos ay itinuturo ang kahilingan sa ibang lugar. Gumagana lamang ito kung saan handa ang serbisyong iyon na ituro ito, at ito ay usapin ng patakaran ng provider at hindi ng pakulo ng protocol.
Nakadepende ang fronting sa provider, hindi sa teknik
Bilang limitadong halimbawa, Mga madalas itanong tungkol sa Front Door dinokumento ng Azure ang mga proteksyon laban sa domain fronting. Inilalarawan nito ang pinapayagang hindi pagkakatugma para sa mga domain sa loob ng parehong subscription at mga naka-configure na ruta, at ang tugon na 421 Misdirected Request kapag hinaharangan ng proteksyon sa hindi pagkakatugma ang isang kahilingan.
Ang nag-iisang dokumentadong patakarang iyon ay nagpapawalang-bisa sa dalawang slogan nang sabay. Hindi lahat ng pares ng magkaibang pangalan ay gumagana, at hindi rin bawal ang lahat ng hindi pagkakatugma. Ang ibang serbisyo ay may sariling pagsusuri, sariling pangangailangan sa deployment at sariling error code.
Hindi rin ito tagubilin para iwasan ang mga paghihigpit ng ibang network. Ang pagbasa ng mga tuntunin ng routing ng provider upang maunawaan kung ano ang pinapayagan ay gawaing arkitektura; ang ituring ang mga tuntuning iyon na recipe sa pag-iwas ay ibang gawain na may ibang bunga. Panatilihing magkahiwalay ang dalawang gawaing iyon sa dokumentong isinusulat mo. Ang pangalawa ang dahilan kung bakit tinatanggihan ang isang disenyo sa pagsusuri.
Ano ang talagang pinipili ng VPN
Sa VPN ng network, pinipili ng routing at patakaran ng platform ang panloob na trapiko para sa tunnel patungo sa peer. Depende sa kaayusan, maaari nitong saklawin ang maraming aplikasyon o isang tinukoy na subset, at maaari itong magdala ng mga protocol na walang kahilingang HTTP.
Wala sa mga iyon ang ginagawa ng fronting. Ang pagsasaayos ng isang kahilingang HTTPS sa pamamagitan ng serbisyong fronting ay hindi naglalagay ng ruta ng pribadong network, hindi nagdadala ng arbitraryong aplikasyong UDP at hindi pinipilit ang bawat programa sa device na gamitin ang serbisyo. Kung kailangan mo ang saklaw na iyon, kailangan mo ng proxy o tunnel, hindi pakulo ng pangalan.
Iyon ang dahilan kung bakit napagkakamalan ang dalawa sa pagsusuri: parehong inilalarawan bilang tagapamagitan, at parehong lumilitaw sa mga dokumento tungkol sa access. Ang interface na iniaalok ng bawat isa ay ganap na magkaiba, at isa lamang sa kanila ang landas ng network.
Ang visibility ay hindi binary
Ang paghahambing ay hindi rin simpleng nakatago laban sa nakikita. Ang mga query ng DNS, mga address ng destinasyon, mga katangian ng handshake, laki ng packet at timing ay nananatiling mapapansin ng sinumang nasa posisyon upang makita ang mga ito, at ang natututuhan ng tagamasid na iyon ay nakadepende sa kung saan siya nakaupo.
Ang data ng aplikasyon ay nakikita rin sa mga endpoint na nagtatapos nito. Ang serbisyong fronting na nagtuturo ng iyong kahilingan ay isa sa mga endpoint na iyon, at ang peer ng VPN ay isa pa. Wala sa dalawang kaayusan ang gumagawa sa nilalaman na malabo para sa panig na kailangang basahin ito upang mapagsilbihan ka.
Iguhit ang tatlong kahon
Para sa pagsusuri ng arkitektura, iguhit ang endpoint ng TLS, serbisyo ng routing ng HTTP at huling aplikasyon bilang tatlong hiwalay na kahon, pagkatapos ay iguhit ang anumang peer ng VPN sa ibang lugar muli. Ang lugar na pumipili ng destinasyon sa web at ang lugar na nagdadala ng mga packet ng pribadong network ay hindi kailangang maging parehong sistema, at kadalasan ay hindi.
Kapag hiwalay na ang mga kahon, nagiging masasagot ang mga tanong: aling mga pangalan ang tinatanggap ng provider na ito, aling mga protocol ang nangangailangan ng transportasyon, at aling panig ang makakakita ng ano. Ang diagram na naghahalo sa kanila ay gumagawa ng disenyong walang makakapagpatupad at pagsusuring nakikipagtalo tungkol sa bokabularyo.