Brauzer saytni ochishdan oldin bir nechta ish qiladi: DNS'dan IP manzilni so'raydi, serverga ulanadi, shifrlash bo'yicha kelishadi va shundan keyingina sahifani so'raydi. Ko'p hollarda brauzer serverning HTTP/3'ni qo'llashini yoki saytning faqat HTTPS orqali ishlashini birinchi ulanishdan keyingina bilib oladi. 2023-yilda RFC 9460 sifatida standartlashtirilgan SVCB va HTTPS yozuvlari bu ma'lumotlarni DNS'ning o'zida, ulanishdan oldin berish imkonini yaratadi. Natijada birinchi ulanish tezroq va xavfsizroq bo'lishi mumkin.
SVCB va HTTPS yozuvlari o'rtasidagi farq
SVCB, ya'ni "service binding", istalgan xizmat uchun umumiy yozuv turi hisoblanadi. HTTPS esa uning veb uchun mo'ljallangan maxsus ko'rinishidir: formati bir xil, lekin u faqat https sxemasidagi saytlar uchun ishlatiladi va nomi oldiga qo'shimcha prefiks talab qilmaydi. Amalda sayt egalari deyarli har doim HTTPS turidagi yozuv bilan ishlaydi, SVCB esa boshqa protokollar, masalan shifrlangan DNS xizmatlari uchun qo'llanadi.
Yozuv uch qismdan iborat: ustuvorlik, maqsad nomi va parametrlar. Ustuvorlik 0 bo'lsa, bu "AliasMode", ya'ni taxallus rejimi: yozuv faqat boshqa nomga yo'naltiradi. Ustuvorlik 1 va undan katta bo'lsa, bu "ServiceMode": yozuv ulanish parametrlarini beradi. Maqsad nomi sifatida nuqta yozilsa, bu "shu nomning o'zi" degan ma'noni anglatadi.
Yozuv qanday ko'rinadi
Quyidagi misolda example.uz sayti HTTP/3 va HTTP/2'ni qo'llashini e'lon qiladi va brauzerga IP manzillar bo'yicha ishora beradi. Ikkinchi qatorda esa domen apeksi uchun taxallus rejimi ko'rsatilgan: bu holda saytning o'zi CDN nomiga yo'naltiriladi. Apeksda CNAME qo'yish taqiqlangani uchun bu imkoniyat ayniqsa qiziqarli, lekin brauzerlarning taxallus rejimini qo'llab-quvvatlashi hali bir xil emas.
example.uz. 3600 IN HTTPS 1 . alpn="h3,h2" ipv4hint=203.0.113.10 ipv6hint=2001:db8::10
misol.uz. 3600 IN HTTPS 0 cdn.example.net.Asosiy parametrlar quyidagilar. alpn server qo'llaydigan protokollar ro'yxati, h3 HTTP/3'ni, h2 esa HTTP/2'ni bildiradi. port nostandart port uchun ishlatiladi. ipv4hint va ipv6hint IP manzillar bo'yicha ishora bo'lib, brauzerga A va AAAA javobini kutmasdan ulanishni boshlash imkonini beradi. ech parametri esa shifrlangan Client Hello, ya'ni ECH uchun kalit ma'lumotlarini tarqatadi va brauzer qaysi saytga ulanayotganini tarmoqdagi kuzatuvchidan yashirishga yordam beradi.
Amaliy foydasi nimada
Birinchi foyda HTTP/3 bilan bog'liq. Odatda brauzer server HTTP/3'ni qo'llashini Alt-Svc sarlavhasidan biladi, ya'ni avval HTTP/2 orqali ulanadi va faqat keyingi so'rovlarda QUIC'ga o'tadi. HTTPS yozuvi bo'lsa, brauzer HTTP/3'ni birinchi ulanishdanoq sinab ko'rishi mumkin. Bu ayniqsa mobil tarmoqlarda, yo'qotishlar ko'p bo'lgan sharoitda sezilarli bo'ladi.
Ikkinchi foyda xavfsizlikka oid. Standartga ko'ra, HTTPS yozuvi mavjud bo'lsa, mijoz http:// manzilini avtomatik ravishda https://'ga o'tkazishi kerak. Bu HSTS kabi ishlaydi va foydalanuvchi birinchi marta oddiy HTTP orqali kirganda ham shifrlanmagan so'rov yuborilmaydi. Uchinchi foyda ECH: u faqat HTTPS yozuvi orqali tarqatiladi, shuning uchun bu yozuvsiz ECH ishlamaydi.
Real misol: onlayn kurs platformasi
Toshkentdagi onlayn ta'lim platformasi videodarslarni asosan mobil foydalanuvchilarga beradi. Serverda Nginx orqali HTTP/3 allaqachon yoqilgan edi, lekin statistikaga ko'ra birinchi tashrifda ulanishlarning deyarli barchasi HTTP/2'da qolayotgan edi. Administrator avval HTTP/3 haqiqatan ishlashini tekshirdi, keyin domen uchun alpn="h3,h2" parametrli HTTPS yozuvini qo'shdi. Shundan keyin yozuvni qo'llab-quvvatlaydigan brauzerlar birinchi ulanishdan HTTP/3'ni ishlata boshladi. Nginx'dagi tegishli sozlama quyidagicha bo'ladi:
server {
listen 443 ssl;
listen 443 quic reuseport;
http2 on;
server_name example.uz;
add_header Alt-Svc 'h3=":443"; ma=86400';
# ssl_certificate ...
}HTTP/3 UDP protokolida ishlaydi, shuning uchun xavfsizlik devorida UDP 443-port ochiq bo'lishi kerak: sudo ufw allow 443/udp. Busiz yozuv brauzerga HTTP/3'ni va'da qiladi, server esa unga javob bermaydi.
Noto'g'ri sozlashning xavflari
Birinchi xavf avtomatik HTTPS'ga o'tish bilan bog'liq. Agar saytda ishlaydigan SSL sertifikati bo'lmasa yoki ba'zi subdomenlar faqat HTTP'da ishlasa, HTTPS yozuvi qo'shilgandan keyin ular qo'llab-quvvatlaydigan brauzerlarda ochilmay qoladi. Shuning uchun yozuvni faqat sertifikati to'g'ri ishlaydigan nomlarga qo'shing. Let's Encrypt sertifikati avtomatik yangilanib turishi ham muhim.
Ikkinchi xavf eskirgan ishoralar. Server IP manzili o'zgarganda A yozuvi yangilanadi, lekin ipv4hint esdan chiqib qolishi oson. Brauzer ishoradagi eski manzilga ulanishga urinib, vaqt yo'qotadi. Agar IP tez-tez o'zgarsa, ishora parametrlarini umuman yozmagan ma'qul, ular majburiy emas. Uchinchi xavf alpn'da serverda yo'q protokolni e'lon qilish: brauzer zaxira yo'lga o'tadi, ammo bu birinchi ulanishni tezlashtirish o'rniga sekinlashtiradi.
Yozuvni qo'shish va tekshirish
HTTPS yozuvi nisbatan yangi tur bo'lgani uchun hamma DNS panellari uni qo'llab-quvvatlamaydi. Ba'zi CDN xizmatlari esa uni avtomatik e'lon qiladi. sayt.uz kabinetidagi DNS bo'limida bu tur mavjudligini ko'rib chiqing yoki texnik yordam orqali aniqlang. Qo'shilgandan keyin yozuvni dig bilan tekshiring. Eski dig versiyalari HTTPS turini nomidan tanimasa, uning raqami bo'yicha so'rash mumkin:
dig example.uz HTTPS +short
dig example.uz TYPE65 +short
curl --http3 -I https://example.uzOxirgi buyruq faqat HTTP/3 qo'llab-quvvatlanadigan curl versiyasida ishlaydi. HTTPS yozuvi bo'lmagan yoki uni tanimaydigan mijozlar odatdagidek A va AAAA yozuvlari orqali ulanishda davom etadi, shuning uchun to'g'ri sozlangan yozuv hech kimga zarar yetkazmaydi, faqat qo'llab-quvvatlovchilarga tezlik va xavfsizlik qo'shadi.