أطلقت Cloudflare النسخة التجريبية المغلقة من OHTTP Gateway المُدار

طريق مُدار لطلبات HTTP الخاصة

أطلقت Cloudflare النسخة التجريبية المغلقة من OHTTP Gateway، وهي خدمة مُدارة مبنية على معيار IETF، تتيح لخوادم التطبيقات الخلفية استقبال طلبات HTTP دون الاطلاع على عناوين IP للمستخدمين. يوفر OHTTP سرية مرئية للعميل من خلال فصل معالجة الطلب إلى مكونين مستقلين. يقوم Relay بتمرير الطلبات المشفرة وإخفاء مُعرّفات العميل عن خادم التطبيق. يقوم Gateway بفك تغليف الطلبات وتغليف الاستجابات، مما يتيح للخادم معالجة HTTP التقليدية.

صُمم بحيث لا يستطيع أي طرف رؤية مُعرّفات العميل ومحتوى الطلب في آن واحد. يرى Relay المُعرّفات مثل عنوان IP أو بصمة TLS، لكنه لا يرى النص الواضح للطلب. يعالج Gateway وخادم التطبيق المحتوى، لكنهما لا يتعرفان على الهوية الشبكية للمستخدم النهائي. وفقاً لـ Cloudflare، يساعد Gateway بشكل خاص التطبيقات المُستضافة خلف CDN أو Workers الخاصة به والخدمات التي تستقبل حركة مرور من relay خارجي. النسخة التجريبية المغلقة ذاتية الخدمة، مع إضافة مدفوعة لمنطقة zone مخطط لها هذا الربع.

خيارات Relay و Gateway

أطلقت Cloudflare منتج relay الخاص بـ OHTTP، وهو Privacy Gateway، في عام 2022، والآن تُعيد تسميته إلى Cloudflare OHTTP Relay. يمكن للمطورين الذين خوادم تطبيقاتهم خارج Cloudflare استخدام relay الخاص بـ Cloudflare وإطلاق gateway خاص بهم. أما الذين يستضيفون خوادمهم عبر Cloudflare فسيستخدمون Gateway المُدار الجديد مع relay خارجي مستقل. وبهذه الطريقة يُحافظ على فصل الثقة المطلوب لـ OHTTP.

تذكر Cloudflare كمثال وضع Anonymous Mode من Flo Health و Private Cloud Compute من Apple كتطبيقات قائمة بالفعل لـ OHTTP. كما تشير إلى استقبال الطلبات من relay خارجي، بما في ذلك حركة المرور المرتبطة بـ LiveCallerID SDK من Apple، كسيناريو لاستخدام Gateway.

مصمم لعمليات النشر على الحافة

الخدمة مُنشرّة في شبكة الحافة العالمية لـ Cloudflare وتتوسع تلقائياً. وفقاً لـ Cloudflare، تقلل بنية anycast زمن الاستجابة من Relay إلى Gateway، بينما يقلل استخدام CDN زمن الاستجابة من Gateway إلى المصدر. يدعم Gateway OHTTP القياسي والمُقطّع (chunked)؛ ويُنصح بالمعالجة المُقطعة لأداء أفضل. يمكن تفعيله على منطقة zone، والوصول إليه عبر العنوان /.well-known/ohttp-gateway. تعالج الخدمة طلبات OHTTP وتُعيد الاستجابات المشفرة، بينما تمر حركة المرور غير OHTTP مباشرة إلى المصدر دون المرور عبر Gateway.

تدير Cloudflare مفاتيح HPKE التي يحتاجها العملاء لتشفير الطلبات، وتوفر إعدادات المفتاح العام. يعمل Cloudflare Access قبل فك التشفير ويُصادق حركة المرور عبر mutual TLS أو شهادات الخدمة الثابتة أو منطق خارجي. يمنع ربط المنطقة (Zone binding) استخدام Gateway ضد نطاقات غير مرتبطة. ولتجنب كسر نموذج سرية OHTTP، لا يفك Gateway تشفير الطلبات القادمة من Cloudflare Workers أو من مضيفين مُوكّلين عبر Cloudflare.

متطلبات النشر والقيود

يجب على المطورين الذين يرغبون في Gateway المُدار إنشاء عميل OHTTP وإحضار relay مستقل خاص بهم. وفقاً لـ Cloudflare، يتيح هذا الفصل لمزود relay أن يتعهد بشكل قابل للتحقق بعدم فحص سجلات مُعرّفات العميل، مما يقلل من مخاطر ربط المستخدمين بطلباتهم المشفرة. يحمي OHTTP المُعرّفات الشبكية لكنه لا يغير محتوى نص الطلب الداخلي. لذا يجب على المطورين عدم وضع مُعرّفات شخصية هناك مثل عناوين البريد الإلكتروني أو أسماء المستخدمين. توفر Cloudflare أيضاً عميل pvcli لاختبار عمليات نشر OHTTP الحية وتصحيحها.