Ulanish ilgagi — bu sessiya siyosati, paket filtri emas

Kimdir mijozlar tunnel orqali nima yuborishini ko'rmoqchi bo'ladi, hujjatlardan ulanish ilgagini topadi va hech qachon birorta paket olmaydigan skript yozishni boshlaydi. Ilgak haqiqiy va foydali, lekin uning ish birligi — sessiya, bayt emas. To'g'ri komponentni tanlash ish sodir bo'lishi mumkin bo'lgan uch joyni qiyoslashdir, hal qiluvchi savol esa har biri qaysi birlikni haqiqatan ko'ra olishidir.

Ilgak nima oladi va u hech qachon nima olmaydi

Mijoz ulanish ilgagi autentifikatsiyadan o'tgan mijoz sessiya o'rnatganda bir marta, server jarayoni kontekstida, hujjatlashtirilgan argumentlar va umumiy nom hamda ajratilgan manzil kabi muhit qiymatlari bilan ishga tushadi. U har bir mijoz uchun konfiguratsiyani yozishi, ruxsat qarorini qabul qilishi, tashqi resurs ajratishi yoki ulanish sodir bo'lganini qayd etishi mumkin. U qila olmaydigan narsa — trafikni kuzatish, chunki birinchi paket tunneldan o'tganda ilgak allaqachon qaytgan bo'ladi.

Bu aylanib o'tish kerak bo'lgan cheklov emas. Oqimni qayta ishlashga urinadigan sessiya qayta chaqiruvi ulanishning butun umri davomida ishlashi kerak bo'lardi, demonning skript shartnomasi esa bunday shakl uchun qurilmagan. Ilgak yo'lingizda deb qaror qilishdan oldin uning nima uchunligini so'rang.

Qayta ulanishlar ham muhim. Uzilib qayta ulangan mijoz — yangi sessiya, shuning uchun ilgak ajratadigan hamma narsa idempotent bo'lishi yoki tozalaydigan uzilish hodisasi bilan juftlashishi kerak. Har bir qayta ulanishda oqib ketadigan holat — ilgakka asoslangan loyihalashning odatiy birinchi xatosi.

Sessiya siyosati ilgakning ichida

Ruxsat — ilgakning tabiiy ishi. Kim, qayerdan va qaysi sertifikat bilan ulanganini bilasiz va bu sessiya davom etishi yoki rad etilishini hal qila olasiz. Bu qaror arzon, bir marta qabul qilinadi va foydali yukning bir baytini ham ko'rishni talab qilmaydi.

Konfiguratsiyani tayinlash ham xuddi shu shaklga mos keladi. Ilgak mijoz manzilini tanlashi, shu shaxsga mos variantlarni yuborishi yoki server ushbu mijoz uchun o'qiydigan parcha yozishi mumkin. Qaror sessiya bo'yicha bo'lgani uchun, biror narsa noto'g'ri bo'lib, kimdir ma'lum mijoz nima uchun ma'lum manzil olganini tushuntirishi kerak bo'lganda ham tushunarli bo'lib qoladi.

Qayd etish — uchinchi moslik. Sessiya qabul qilinganini aytadigan, uning shaxsi va vaqti bilan audit yozuvi aynan shu yerda. Bu trafik jurnali emas va o'zini shunday ko'rsatmasligi kerak. Keyinchalik kimdir mijoz tunnel ichida nima qilganini so'rasa, javob boshqa joydan kelishi kerak.

Paket ishi paket yo'lida

Agar talab uchayotgan baytlarni ko'rish yoki o'zgartirish bo'lsa, komponent uzatish yo'lida bo'lishi kerak: navbatli tarmoq devori qoidasi, trafikni boshqarish ilgagi yoki foydalanuvchi fazosidagi uzatkich. Bu mexanizmlar paketlarni ko'radi va ularning o'z holati, o'z nosozlik usullari va o'z unumdorlik profili bor.

O'sha qatlamda foydali yukni tahrirlash uni o'qishdan qiyinroq. Bitta baytni o'zgartirish uzunlik maydonini, nazorat summasini yoki protokol holat mashinasini bekor qilishi mumkin, uchinchi qatlam tunneli esa sizni bularning hech biridan himoya qilmaydi. Bu faqat siz tahrirlayotgan narsa tashqi sarlavhalar emasligini bildiradi. Birovga tarkibni qayta yozishni va'da qilishdan oldin shu tuzatish ishiga byudjet ajrating.

Interfeysni ushlash bu toifadagi eng arzon vosita va u muharrir emas, kuzatish. Odamlar ikkalasini chalkashtiradi, chunki ikkalasi ham trafikni ko'rish deb ta'riflanadi, lekin ushlash fayl hosil qiladi, paket yo'li esa qaror hosil qiladi.

Ilova o'zgarishlari ilovaning ichida

Maqsad so'rov nima saqlashini yoki javob qanday shakllanishini o'zgartirish bo'lsa, to'g'ri joy xizmatning o'zi yoki protokolni ataylab tugatadigan proksi. Bu komponentlar so'rovlarni, javoblarni va ilova kutayotgan autentifikatsiyani allaqachon tushunadi va bu aynan paket filtriga yetishmayotgan kontekst.

Manzillarni tarjima qilish bu ro'yxatning pastida biron sababga ko'ra turadi. U manzillar va portlarni qayta yozadi va foydali yukni tinch qoldiradi, shuning uchun u tarkib vositasi emas, tarkibni ham tilga oladigan retseptda qanchalik tez-tez uchrasa ham.

Bu chegaralarni alohida saqlash loyihani izohlash mumkin qiladi. Ilgakdagi sessiya siyosati, paket yo'lidagi paket ishlovi va protokol ataylab tugaydigan joydagi ilova o'zgarishi: ko'rikdan o'tkazish uchun tekshiruv ro'yxati sifatida ham xizmat qiladigan uch gap.

TLS hali ham suhbatni tugatadigan joy

Yuqoridagilarning barchasidan bitta narsa omon qoladi: tunnel ichidagi HTTPS tashiydigan trafik o'zining transport shifrlashini saqlaydi. VPN kalitlariga ega bo'lish sizga ichki IP paketini beradi va narigi tomondagi saytning sessiya kalitlarini bermaydi.

Shuning uchun ilgak tarkibni hatto printsipial ham tekshira olmaydi va shuning uchun joylashtirish ichki TLSni ataylab tugatmasa, paket yo'li shifrlangan matnni ko'radi. skript shartnomasi ilgakka nima berilishini tasvirlaydi; foydali yuk haqida hech narsa demaydi, chunki beradigan yuk yo'q.