Bağlantı kancası bir oturum politikasıdır, paket filtresi değildir

Biri istemcilerin tünelden ne gönderdiğini incelemek ister, belgelerde bağlantı kancasını bulur ve tek bir paket bile almayacak bir betik yazmaya başlar. Kanca gerçektir ve yararlıdır, ancak iş birimi bir oturumdur, bir bayt değil. Doğru bileşeni seçmek, işin gerçekleşebileceği üç yer arasında bir karşılaştırmadır ve belirleyici soru, her birinin gerçekte hangi birimi görebildiğidir.

Kancanın ne aldığı ve neyi asla almadığı

İstemci bağlantı kancası, kimliği doğrulanmış bir istemci oturum kurduğunda bir kez, sunucunun süreç bağlamında, belgelenmiş argümanlar ve ortak ad ile atanmış adres gibi ortam değerleriyle çalışır. İstemci başına yapılandırma yazabilir, bir kabul kararı verebilir, harici bir kaynak ayırabilir veya bağlantının gerçekleştiğini kaydedebilir. Yapamadığı şey trafiği gözlemlemektir, çünkü ilk paket tüneli geçtiğinde kanca çoktan dönmüştür.

Bu, etrafından dolaşılması gereken bir sınırlama değildir. Bir akışı işlemeye çalışan oturum geri çağrısı, bağlantının tüm ömrü boyunca çalışmak zorunda kalırdı ve daemonun betik sözleşmesi bu biçim için kurulmamıştır. Kancanın yolunuzda olduğuna karar vermeden önce ne için olduğunu sorun.

Yeniden bağlanmalar da önemlidir. Düşen ve yeniden bağlanan istemci yeni bir oturumdur, bu nedenle kancanın ayırdığı her şey idempotent olmalı ya da temizleyen bir bağlantı kesilmesi olayıyla eşleştirilmelidir. Her yeniden bağlanmada sızan durum, kanca tabanlı tasarımın olağan ilk hatasıdır.

Oturum politikası kancaya aittir

Kabul, kancanın doğal işidir. Kimin, nereden ve hangi sertifikayla bağlandığını bilirsiniz ve bu oturumun sürüp sürmeyeceğine veya reddedileceğine karar verebilirsiniz. Bu karar ucuzdur, bir kez verilir ve yükün tek bir baytına bakmayı gerektirmez.

Yapılandırma ataması aynı biçime uyar. Kanca istemcinin adresini seçebilir, o kimliğe uygun seçenekler gönderebilir veya sunucunun bu istemci için okuduğu bir parça yazabilir. Karar oturum başına olduğu için, bir şeyler ters gittiğinde ve birinin belirli bir istemcinin neden belirli bir adres aldığını açıklaması gerektiğinde anlaşılır kalır.

Kayıt, üçüncü uygunluktur. Bir oturumun kabul edildiğini söyleyen, kimliği ve zamanıyla birlikte denetim girdisi tam olarak buraya aittir. Bu bir trafik günlüğü değildir ve öyleymiş gibi davranmamalıdır. Daha sonra biri istemcinin tünelin içinde ne yaptığını sorarsa, yanıt başka bir yerden gelmelidir.

Paket işi bir paket yoluna aittir

Gereksinim uçuştaki baytları görmek veya değiştirmekse, bileşen iletme yolunda olmalıdır: kuyruklu bir güvenlik duvarı kuralı, bir trafik denetimi kancası veya kullanıcı alanında bir iletici. Bu mekanizmalar paketleri görür ve kendi durumları, kendi arıza biçimleri ve kendi başarım profilleri vardır.

Yükü o katmanda düzenlemek onu okumaktan daha zordur. Bir baytı değiştirmek bir uzunluk alanını, sağlama toplamını veya protokol durum makinesini geçersiz kılabilir ve üçüncü katman tüneli sizi bunların hiçbirinden korumaz. Yalnızca düzenlediğiniz şeyin dış başlıklar olmadığı anlamına gelir. Birine içerik yeniden yazımı vaat etmeden önce o onarım işine bütçe ayırın.

Arayüz yakalama bu kategorideki en ucuz araçtır ve bir düzenleyici değil, gözlemdir. İnsanlar ikisini karıştırır çünkü ikisi de trafiği görmek olarak tanımlanır, ancak yakalama bir dosya üretir ve paket yolu bir karar üretir.

Uygulama değişiklikleri uygulamaya aittir

Amaç bir isteğin ne içerdiğini veya bir yanıtın nasıl oluştuğunu değiştirmekse, doğru yer hizmetin kendisi veya protokolü bilerek sonlandıran bir vekildir. Bu bileşenler istekleri, yanıtları ve uygulamanın beklediği kimlik doğrulamayı zaten anlar ve bu tam olarak paket filtresinin eksik olduğu bağlamdır.

Adres çevirisi bu listenin altında bir nedenden dolayı durur. Adresleri ve bağlantı noktalarını yeniden yazar ve yükü rahat bırakır, bu yüzden içerikten de söz eden bir tarifte ne kadar sık görünürse görünsün içerik aracı değildir.

Bu sınırları ayrı tutmak, bir tasarımı açıklanabilir kılan şeydir. Kancada oturum politikası, paket yolunda paket işleme ve protokolün bilerek sonlandırıldığı yerde uygulama değişikliği: inceleme için denetim listesi olarak da hizmet eden üç cümle.

TLS'in hâlâ konuşmayı bitirdiği yer

Yukarıdakilerin hepsinden bir şey sağ çıkar: tünelin içinde HTTPS taşıyan trafik kendi taşıma şifrelemesini korur. VPN'in anahtarlarına sahip olmak size iç IP paketini verir ve diğer uçtaki web sitesinin oturum anahtarlarını vermez.

Bu yüzden bir kanca içeriği ilke olarak bile inceleyemez ve bu yüzden dağıtım iç TLS'i bilerek sonlandırmadıkça paket yolu şifreli metin görür. betik sözleşmesi kancaya ne verildiğini açıklar; yük hakkında hiçbir şey söylemez çünkü verilecek yük yoktur.