مهندسان شبکه و متخصصان امنیت سال ها با یک چالش اساسی در لایه انتقال مواجه بوده اند. تونل های سنتی لایه سه مانند WireGuard، IPsec ESP و OpenVPN UDP به دلیل ارسال دیتاگرام های مستقل، بالاترین بازدهی را بدون ایجاد تاخیر صف فراهم می سازند. با این وجود، به دلیل استفاده این تونل ها از درگاه های مشخص پروتکل UDP (مانند 51820 یا 1194)، فایروال های سازمانی، پورتال های عمومی وای فای و فراهم کنندگان اینترنت به راحتی این بسته ها را شناسایی و با افت سرعت یا قطعی مواجه می کنند.

راهکار قدیمی برای حل این چالش، قرار دادن ترافیک شبکه درون جریان های منظم TCP روی پورت 443 به تقلید از وبگردی استاندارد بود. اگرچه این شیوه به عبور بسته ها از تجهیزات نظارتی کمک می کرد، اما پدیده مخرب فروپاشی لایه های تودرتوی TCP (معروف به TCP-over-TCP meltdown) را به همراه داشت. با کوچک ترین افت بسته در شبکه، تایمرهای ارسال مجدد لایه بیرونی با الگوریتم های کنترل تراکم لایه درونی تداخل پیدا کرده و موجب افزایش شدید پینگ و افت ناگهانی پهنای باند می شدند.

کارگروه MASQUE در سازمان IETF راهکاری بنیادین برای این معماری ارائه داد. با استانداردسازی ارسال مستقیم دیتاگرام های خام UDP و بسته های لایه سه IP بر بستر پروتکل HTTP/3، ساختار MASQUE سرعت انتقال دیتاگرام را با الگوی رمزنگاری وبگردی ترکیب می کند.

محدودیت های تونل های سنتی و چالش تاخیر صف

در ساختارهای قدیمی وب، پروکسی های مبتنی بر متد HTTP CONNECT (استاندارد RFC 9110) صرفا برای انتقال جریان های مرتب بایتی طراحی شده بودند. چنانچه برنامه ای نیاز به جابجایی ترافیک UDP یا بسته های خام IP از طریق پروکسی داشت، ناچار بود آنها را در قالب یک جریان متوالی قرار دهد.

این موضوع پیامدهای منفی فراوانی داشت:

  • از دست رفتن یک بسته کوچک باعث توقف تمام داده های بعدی تا زمان دریافت مجدد آن می شد.
  • ارتباطات حساس به تاخیر نظیر مکالمات اینترنتی صوتی و تصویری و بازی های آنلاین با قطعی های لحظه ای روبرو می شدند.
  • سیستم های مدیریت تراکم دو لایه به صورت مداوم عملکرد یکدیگر را مختل می کردند.

ارتباطات ایمن امروزی به روشی نیاز داشتند که بتواند در عین حفظ هویت وبگردی، دیتاگرام ها را به صورت کاملا مستقل و بدون تشکیل صف های طولانی جابجا کند.

ساختار پروتکل MASQUE: دیتاگرام های QUIC و پروتکل کپسول

معماری MASQUE حاصل یکپارچگی سه استاندارد کلیدی در بستر پروتکل انتقال QUIC (استاندارد RFC 9000) است:

  1. افزونه دیتاگرام QUIC (استاندارد RFC 9221): پروتکل پایه ای QUIC تحویل مرتب و تضمین شده جریان ها را مدیریت می کند. استاندارد RFC 9221 فریم های اختصاصی DATAGRAM (نوع 0x30 بدون طول و 0x31 همراه با طول) را اضافه می کند. این فریم ها امکان ارسال داده های مستقل و بدون ترتیب را درون ارتباط QUIC فراهم می کنند. در صورت گم شدن بسته در مسیر، پروتکل این رویداد را برای تنظیم الگوریتم تراکم ثبت می کند اما هرگز بسته را دوباره ارسال نمی کند.
  2. دیتاگرام های HTTP و پروتکل کپسول (استاندارد RFC 9297): به منظور ارسال همزمان چندین جریان دیتاگرام درون یک اتصال مشترک، استاندارد RFC 9297 شناسه های زمینه و پروتکل کپسول را تعریف کرده است. کپسول ها واحدهای دودویی منظمی هستند که از طریق جریان متنی و مطمئن HTTP ارسال می شوند. آنها وظیفه تبادل پیام های مدیریتی نظیر تعیین حداکثر اندازه بسته (MTU)، تخصیص نشانی ها و بستن اتصال را دارند؛ در حالی که بسته های اصلی کاربر با سرعت زیاد درون فریم های دیتاگرام QUIC منتقل می شوند.
  3. پروکسی کردن UDP و IP (استانداردهای RFC 9298 و RFC 9484): استاندارد RFC 9298 متد توسعه یافته CONNECT-UDP را برای ایجاد ارتباطات UDP از طریق پروکسی معرفی می کند. سپس استاندارد RFC 9484 با معرفی CONNECT-IP امکان انتقال مستقیم بسته های لایه سه IPv4 و IPv6 را فراهم می سازد و اتصال HTTP/3 را به یک کارت شبکه مجازی کامل تبدیل می کند.

از آنجا که تبادل داده های MASQUE روی پورت استاندارد UDP 443 و همراه با رمزنگاری TLS 1.3 انجام می شود، ابزارهای بازرسی عمیق بسته ها (DPI) تنها جریان های عادی ارتباط QUIC و شناسه های لایه کاربردی ALPN (h3) را مشاهده می کنند. بدین ترتیب تجهیزات نظارتی قادر به جداسازی ترافیک تونل از تماشای ویدیو یا مرور وب نخواهند بود.

حذف کامل مسدودسازی سر صف در جریان های همزمان

مزیت عملیاتی برجسته MASQUE در مقایسه با روش های سنتی TLS (مانند OpenVPN در حالت TCP یا SSTP)، از بین رفتن پدیده مسدودسازی سر صف (head-of-line blocking) است.

در تونل های تحت پروتکل TCP، افت یک قطعه کوچک داده باعث توقف تحویل تمامی اطلاعات برای همه برنامه های در حال اجرا می شود. اگر در هنگام دانلود یک فایل حجیم بسته ای گم شود، نشست کاربری ترمینال یا تماس صوتی همزمان متوقف می شود تا آن بسته دوباره ارسال گردد.

در معماری MASQUE روی بستر HTTP/3:

  • هر جریان درون تونل در محیطی کاملا تفکیک شده مدیریت می شود.
  • داده های اصلی درون فریم های DATAGRAM حمل شده و به بافرهای مرتب سازی QUIC وارد نمی شوند.
  • در صورت افت یک بسته مربوط به بازی آنلاین، بسته های مجاور بی درنگ به سیستم عامل تحویل داده می شوند.
  • الگوریتم های پیشرفته مدیریت تراکم نظیر BBRv2 یا CUBIC در لایه بیرونی نرخ ارسال کلی را مدیریت می کنند بدون آنکه تایمرهای برنامه های درونی را به هم بریزند.

این سازوکار موجب می شود ارتباط حتی در شبکه های ماهواره ای یا اینترنت همراه با نرخ اتلاف 5 تا 10 درصد به صورت یکنواخت و روان باقی بماند.

معماری پروکسی چند مرحله ای برای حفظ حریم خصوصی

علاوه بر بهبود چشمگیر کارایی، MASQUE بستر فنی مطمئنی برای راه اندازی مسیرهای زنجیره ای چند مرحله ای پروکسی با حفظ حریم خصوصی ایجاد می کند. در شبکه های سنتی، پیاده سازی تونل های تودرتو مستلزم چندین مرحله رمزنگاری پیاپی بود که تاخیر زمانی (RTT) را به شدت افزایش می داد.

پروتکل MASQUE این مسیرهای چندگانه را با روشی ساده در لایه HTTP پیاده می کند:

  • پروکسی ورودی (Ingress Proxy): نشانی واقعی IP کاربر را می بیند، اما به دلیل رمزنگاری های اعمال شده هیچ اطلاعی از مقصد نهایی اتصال ندارد.
  • پروکسی خروجی (Egress Proxy): آدرس وبسایت یا سرور مقصد را می شناسد تا ترافیک را به آن منتقل کند، اما به نشانی واقعی کاربر دسترسی ندارد و صرفا با پروکسی ورودی در ارتباط است.

این طراحی پایه اصلی سرویس هایی نظیر iCloud Private Relay اپل و پروتکل Oblivious HTTP است. بدین ترتیب هیچ واسطه ای به صورت همزمان از هویت کاربر و مقصد او باخبر نمی شود.

محاسبه سرریز MTU و تنظیم رابط شبکه مجازی

بهره گیری از MASQUE به عنوان یک VPN کامل در لایه سه نیازمند برنامه ریزی دقیق حداکثر اندازه بسته (MTU) است. در شبکه های رایج اترنت با محدودیت اندازه 1500 بایت، قرار دادن بسته های IP درون لایه های پروتکل HTTP/3 و QUIC سرریزهای جدیدی ایجاد می کند:

  • سربرگ بیرونی IPv4: به میزان 20 بایت (یا 28 بایت در IPv6)
  • سربرگ بیرونی UDP: به میزان 8 بایت
  • سربرگ کوتاه QUIC: بین 1 تا 4 بایت
  • تگ تایید هویت QUIC AEAD: به میزان 16 بایت
  • سربرگ فریم QUIC DATAGRAM: بین 2 تا 4 بایت
  • شناسه دیتاگرام HTTP: بین 1 تا 8 بایت
  • سربرگ های کنترلی MASQUE: بین 2 تا 6 بایت

مجموع این بخش ها بین 50 تا 70 بایت سرریز روی هر بسته اضافه می کند. به منظور پیشگیری از تکه تکه شدن بسته های داخلی، کارت شبکه مجازی سیستم باید با مقدار MTU مناسب (معمولا بین 1420 تا 1440 بایت) پیکربندی شود. کپسول های بررسی مسیر نیز به تطبیق پویای اندازه بسته در طول شبکه کمک می کنند.

یکپارچه سازی انتقال دیتاگرام در معماری VPNRice

راهکارهای امنیتی پیشرفته باید ضمن مقاومت در برابر پایش های ترافیکی، بازدهی شبکه را در سطح بالایی حفظ کنند. VPNRice این الگوهای مدرن را در ساختار شبکه دو لایه خود گنجانده است.

در شرایط شبکه معمولی، برنامه از پروتکل RiceGuard بهینه سازی شده در هسته سیستم عامل استفاده می کند که بدون اتلاف انرژی پردازنده، سرعت بالایی فراهم می سازد. هرگاه اتصال وارد شبکه های محدود شده شود که درگاه های معمولی را فیلتر می کنند، سامانه بی درنگ به پروتکل دیتاگرام مبتنی بر HTTP/3 روی پورت 443 تغییر وضعیت می دهد. این پایداری مانع از قطع اتصال شده و امنیت داده های دستگاه شما را حفظ می کند. دریافت VPNRice.