Domain fronting bir VPN değildir: iki ad, tek istek
Tek bir HTTPS isteğindeki iki ad tünel değildir. Fronting sağlayıcının yönlendirme kurallarına bağlıdır; VPN hangi paketlerin gideceğini seçer. İkisini ayrı ayrı çizin.
İki teknik aynı rafa konur çünkü ikisi de bir aracı içerir ve ikisi de gizleme gibi kulağa gelir. Ancak farklı nesneler üzerinde çalışırlar. Domain fronting, tek bir HTTPS isteğinin hangi katmanında hangi adın göründüğüyle ilgilidir. VPN ise hangi paketlerin bir eşe belirli bir yoldan gittiğiyle ilgilidir. Fronting'e VPN türü demek, çalışamayacak tasarımlara ve yanlış soruyu soran incelemelere yol açar.
İki ad, iki katman
Bir TLS bağlantısı el sıkışmasında sunucu adını taşıyabilir. Bağlantı kurulduğunda, HTTP isteği istediği yetkiyi tanımlar, genellikle Host başlığında. Bunlar, iki farklı anda iki farklı yazılım parçası tarafından okunan iki alandır.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Domain fronting, ilk ikisi arasındaki farkı kullanarak bir fronting hizmetinin bağlantıyı kabul etmesini ve ardından isteği başka bir yere yönlendirmesini sağlar. Yalnızca o hizmetin yönlendirmeye istekli olduğu yerde çalışır ve bu bir protokol hilesi değil, sağlayıcı politikası sorunudur.
Fronting tekniğe değil, sağlayıcıya bağlıdır
Sınırlı bir örnek olarak, Front Door hakkında sık sorulan sorular Azure belgeleri domain fronting'e karşı korumaları belgeler. Aynı abonelik ve yapılandırılmış yollar içindeki alan adları için izin verilen bir uyuşmazlığı ve uyuşmazlık koruması bir isteği engellediğinde 421 Misdirected Request yanıtını açıklar.
Bu tek belgelenmiş politika iki sloganı birden çürütür. Farklı adların her çifti çalışmaz ve her uyuşmazlık da yasak değildir. Diğer hizmetlerin kendi denetimleri, kendi dağıtım gereksinimleri ve kendi hata kodları vardır.
Bu aynı zamanda başka bir ağın kısıtlamalarını aşmak için bir talimat değildir. Bir sağlayıcının yönlendirme kurallarını neye izin verdiğini anlamak için okumak mimarlık işidir; bu kuralları bir aşma tarifi olarak görmek ise başka sonuçları olan başka bir etkinliktir. Yazdığınız belgede bu iki etkinliği ayrı tutun. Tasarımın incelemede reddedilmesine neden olan ikincisidir.
VPN gerçekte neyi seçer
Bir ağ VPN'inde, yönlendirme ve platform politikası bir eşe giden tünel için iç trafiği seçer. Düzene bağlı olarak bu birkaç uygulamayı veya tanımlı bir alt kümeyi kapsayabilir ve hiç HTTP isteği olmayan protokolleri taşıyabilir.
Fronting bunların hiçbirini yapmaz. Bir HTTPS isteğini fronting hizmeti üzerinden düzenlemek özel ağ rotası kurmaz, rastgele UDP uygulamaları taşımaz ve cihazdaki her programı hizmeti kullanmaya zorlamaz. Bu kapsama ihtiyacınız varsa size proxy veya tünel gerekir, ad hilesi değil.
Bu yüzden ikisi incelemede karıştırılır: ikisi de aracı olarak tanımlanır ve ikisi de erişimle ilgili belgelerde görünür. Her birinin sunduğu arayüz tamamen farklıdır ve yalnızca biri ağ yoludur.
Görünürlük ikili değildir
Karşılaştırma da yalnızca gizli ile görünür arasında değildir. DNS sorguları, hedef adresler, el sıkışma özellikleri, paket boyutları ve zamanlama, onları görecek konumda olan biri için gözlemlenebilir kalır ve o gözlemcinin ne öğrendiği nerede oturduğuna bağlıdır.
Uygulama verileri de onları sonlandıran uç noktalarda görünür. İsteğinizi yönlendiren fronting hizmeti bu uç noktalardan biridir ve VPN eşi bir diğeridir. Hiçbir düzen, size hizmet vermek için içeriği okuması gereken taraf için içeriği opak hale getirmez.
Üç kutuyu çizin
Bir mimari incelemesi için TLS uç noktasını, HTTP yönlendirme hizmetini ve son uygulamayı üç ayrı kutu olarak çizin, ardından herhangi bir VPN eşini yine başka bir yere çizin. Web hedefini seçen yer ile özel ağ paketlerini taşıyan yerin aynı sistem olması gerekmez ve genellikle değildir.
Kutular ayrıldığında sorular yanıtlanabilir hale gelir: bu sağlayıcı hangi adları kabul eder, hangi protokoller taşınmaya ihtiyaç duyar ve hangi taraf neyi görebilir. Onları birleştiren bir diyagram, kimsenin uygulayamayacağı bir tasarım ve sözcükler üzerine tartışan bir inceleme üretir.