Domain fronting VPN emas: ikki nom, bitta so’rov
Bitta HTTPS so’rovidagi ikki nom tunnel emas. Fronting provayderning marshrutlash qoidalariga bog’liq; VPN qaysi paketlar ketishini tanlaydi. Ularni alohida chizing.
Bu ikki usul bir joyga qo’yiladi, chunki ikkalasi ham vositachini o’z ichiga oladi va ikkalasi ham yashirishga o’xshaydi. Ammo ular turli obyektlar ustida ishlaydi. Domain fronting bitta HTTPS so’rovining qaysi qatlamida qaysi nom ko’rinishi haqida. VPN esa qaysi paketlar ma’lum yo’l bilan tengdoshga borishi haqida. Frontingni VPN turi deb atash ishlamaydigan dizaynlarga va noto’g’ri savol beradigan ko’rib chiqishlarga olib keladi.
Ikki nom, ikki qatlam
TLS ulanish o’z qo’l berishida server nomini olib yurishi mumkin. Ulanish mavjud bo’lgach, HTTP so’rov o’zi istagan vakolatni aniqlaydi, odatda Host sarlavhasida. Bular ikki xil paytda ikki xil dasturiy qism tomonidan o’qiladigan ikki maydon.
| Layer | What carries the name | Who reads it |
|---|---|---|
| TLS handshake | Server name indication | The TLS terminator in front of the service |
| HTTP request | Authority or Host header | The routing layer that picks a backend |
| Network path | Destination address and port | Routers, and the VPN peer if one is in use |
Domain fronting birinchi ikkisi orasidagi farqdan foydalanadi, shunda fronting xizmati ulanishni qabul qiladi va keyin so’rovni boshqa joyga yo’naltiradi. Bu faqat o’sha xizmat yo’naltirishga tayyor bo’lgan joyda ishlaydi, va bu protokol hiylasi emas, provayder siyosati masalasi.
Fronting usulga emas, provayderga bog’liq
Cheklangan misol sifatida, Front Door bo’yicha tez-tez so’raladigan savollar Azure hujjati domain frontingdan himoyalanishni qayd etadi. Unda bir xil obuna va sozlangan marshrutlar ichidagi domenlar uchun ruxsat etilgan nomuvofiqlik, hamda nomuvofiqlik himoyasi so’rovni to’sganda 421 Misdirected Request javobi tasvirlangan.
O’sha bitta hujjatlashtirilgan siyosat ikkala shiorni bir vaqtda bekor qiladi. Har xil nomlarning har bir juftligi ishlamaydi, va har bir nomuvofiqlik ham taqiqlangan emas. Boshqa xizmatlarning o’z tekshiruvlari, o’z joylashtirish talablari va o’z xato kodlari bor.
Bu boshqa tarmoq cheklovlarini chetlab o’tish bo’yicha ko’rsatma ham emas. Provayderning marshrutlash qoidalarini uning nimaga ruxsat berishini tushunish uchun o’qish arxitektura ishi; bu qoidalarni chetlab o’tish retsepti deb qarash boshqa oqibatlarga ega boshqa faoliyat. Yozayotgan hujjatingizda bu ikki faoliyatni alohida saqlang. Ko’rib chiqishda loyiha rad etilishiga aynan ikkinchisi sabab bo’ladi.
VPN aslida nimani tanlaydi
Tarmoq VPNida marshrutlash va platforma siyosati tengdoshga boradigan tunnel uchun ichki trafikni tanlaydi. Tartibga qarab bu bir nechta ilovani yoki belgilangan kichik to’plamni qamrab olishi mumkin, va umuman HTTP so’rovi bo’lmagan protokollarni ham tashishi mumkin.
Fronting bularning hech birini qilmaydi. Bitta HTTPS so’rovini fronting xizmati orqali tashkil etish xususiy tarmoq marshrutini o’rnatmaydi, ixtiyoriy UDP ilovalarini tashimaydi va qurilmadagi har bir dasturni xizmatdan foydalanishga majburlamaydi. Agar sizga shunday qamrov kerak bo’lsa, sizga proksi yoki tunnel kerak, nom hiylasi emas.
Shuning uchun ko’rib chiqishda ikkisi chalkashadi: ikkisi ham vositachi deb ta’riflanadi va ikkisi ham kirish haqidagi hujjatlarda uchraydi. Har birining taqdim etadigan interfeysi butunlay boshqacha, va ulardan faqat bittasi tarmoq yo’li.
Ko’rinuvchanlik ikkilik emas
Taqqoslash ham shunchaki yashirin va ko’rinadigan emas. DNS so’rovlari, manzil yo’nalishlari, qo’l berish xususiyatlari, paket o’lchamlari va vaqt bularning barchasi ularni ko’rish holatida turgan kishi uchun kuzatiladigan bo’lib qoladi, va o’sha kuzatuvchi nima o’rganishi uning qayerda o’tirishiga bog’liq.
Ilova ma’lumotlari ham uni tugatadigan oxirgi nuqtalarda ko’rinadi. So’rovingizni yo’naltiradigan fronting xizmati o’sha nuqtalardan biri, VPN tengdoshi esa boshqasi. Ikkala tartib ham sizga xizmat qilish uchun uni o’qishi kerak bo’lgan tomon uchun mazmunni noaniq qilmaydi.
Uchta qutini chizing
Arxitektura ko’rib chiqishi uchun TLS oxirgi nuqtasini, HTTP marshrutlash xizmatini va yakuniy ilovani uchta alohida quti sifatida chizing, so’ng har qanday VPN tengdoshini yana boshqa joyga chizing. Veb manzilni tanlaydigan joy va xususiy tarmoq paketlarini tashiydigan joy bir tizim bo’lishi shart emas va odatda unday emas.
Qutilar alohida bo’lgach, savollarga javob berish mumkin bo’ladi: bu provayder qaysi nomlarni qabul qiladi, qaysi protokollarga tashish kerak va qaysi tomon nimani ko’ra oladi. Ularni birlashtirgan diagramma hech kim amalga oshira olmaydigan dizaynni va so’z boyligi ustida bahslashadigan ko’rib chiqishni keltirib chiqaradi.