QUIC ve HTTP/3: Görünürlüğün Kayması

Kurumsal ağ denetimi otuz yıldır aynı zemine dayandı. Trafik TCP üzerinde akar, ara cihazlar bağlantının durumunu okuyabilir, port numarası uygulamayı yaklaşık olarak söyler.

Bu zemin aşınıyor ve aşınmanın adı QUIC.

Neyin Değiştiği

QUIC, TCP ile TLS’in ayrı ayrı yaptığı işi tek bir protokolde birleştirir ve UDP üzerine kurar. Şifreleme isteğe bağlı bir eklenti değil, protokolün kendisidir.

Bunun ağ cihazı açısından anlamı şudur: TCP bağlantısında açıkça okunabilen sıra numaraları, bayraklar ve pencere bilgisi artık şifreli. Cihaz, bir UDP akışının aktığını görür.

Değişim üç ayrı yetenği aynı anda etkiler.

Durum takibi. Bağlantının kurulduğu, sürdüğü ya da kapandığı TCP’deki gibi okunamaz. Cihaz oturumu zaman aşımına dayanarak yönetmek zorunda kalır; bu, oturum tablosunun daha uzun süre dolu kalması demektir.

Uygulama tanıma. Port numarası zaten uzun süredir uygulamayı söylemiyordu. QUIC’te el sıkışmanın ayrıştırılması gerekir ve bunu yapamayan bir cihaz için trafik, hedefi belirsiz bir akıştır.

Bağlantı sürekliliği. QUIC bağlantıları taşınabilir bir kimlik taşır. İstemcinin adresi değişse bile bağlantı devam eder. Adres tabanlı takip yapan her mekanizma burada kopar.

Neyin Değişmediği

Abartılmaması gereken bir taraf var. QUIC el sıkışmasında sunucu adı hâlâ bulunur ve okunabilir.

Yani alan adı tabanlı politika teorik olarak çalışmaya devam eder. Şart, cihazın QUIC el sıkışmasını ayrıştırabilmesidir. Bunu belirleyen protokol değil, cihazın yeteneğidir ve ürünler arasında farklılık gösterir.

Aynı şekilde akış seviyesindeki bilgi kaybolmaz. Kim kiminle, ne zaman, ne hacimde konuştu sorusu akış kayıtlarından cevaplanmaya devam eder.

Kaybedilen şey, taşıma katmanının ayrıntısı ve içeriktir.

Kurumların Verdiği İlk Karar

En yaygın hamle, UDP 443’ü kapatmaktır.

Mantığı sağlamdır. İstemci QUIC ile cevap alamadığında TCP’ye geri düşer ve mevcut denetim altyapısı çalışmaya devam eder. Uygulama açısından kullanıcı bir fark görmez.

Bu karar bir süre işe yarar. Kalıcı olmamasının üç sebebi var.

Birincisi performanstır. QUIC’in geri düşüş maliyeti sıfır değildir; istemci önce dener, cevap bekler, sonra vazgeçer. Kullanıcı tarafında bu, sayfa açılışında fark edilebilir bir gecikmedir.

İkincisi kapsamdır. Geri düşüş davranışı her uygulamada garanti edilmez. Bazı hizmetler yalnız QUIC üzerinden çalışır ve engellendiklerinde hiç açılmazlar.

Üçüncüsü yöndür. Web trafiğinin QUIC üzerindeki payı artıyor. Engellemek, bu eğilimi tersine çevirmez; yalnız kurumun onu görmesini geciktirir.

Denetimin Dayanağı Nereye Kayıyor

Uzun vadeli soru şudur: karar hangi katmanda veriliyor?

Ağ katmanına dayanan denetim, protokol her şifrelendiğinde bir parça daha zayıflar. QUIC bu zayıflamanın son adımı da değil. ECH sunucu adını da kapattığında alan adı tabanlı politikalar aynı yoldan geçecek.

Bu, ağ denetiminin bittiği anlamına gelmez. Anlamı, ağdan okunabilen bilginin daha kaba hale gelmesidir: adres, hacim, zamanlama, davranış örüntüsü. Bunlar hâlâ değerli sinyallerdir ve bazı sorular yalnız bunlarla cevaplanır.

Ama “hangi siteye girildi, ne indirildi” sorusunun ağ katmanından cevaplanması giderek zorlaşıyor.

Alternatif, kararı uç noktaya ya da uygulama katmanına taşımaktır. Cihaz üzerinde çalışan bir politika, trafiğin nasıl taşındığından bağımsızdır. Kurumsal kimlik üzerinden verilen erişim kararı da öyledir.

İkisinin de kendi maliyeti var: uç nokta yönetimi ve yönetilmeyen cihazların kapsam dışı kalması.

Satın Almada Sorulacaklar

“HTTP/3 destekliyor mu” sorusu bir şey ölçmez. Ölçen sorular şunlardır:

• QUIC el sıkışmasından sunucu adı çıkarılabiliyor mu, yoksa trafik yalnız UDP akışı olarak mı görülüyor?
• Uygulama tanıma bu trafikte çalışıyor mu, hangi uygulamalar tanınıyor?
• QUIC denetimi açıkken ölçülen çıktı nedir? Katalog rakamı TCP üzerinden ölçülmüş olabilir.
• Oturum tablosu QUIC akışlarını hangi zaman aşımıyla yönetiyor ve bu, kapasite hesabını nasıl etkiliyor?
• Geri düşüşe zorlama seçeneği var mı, varsa hangi çözünürlükte uygulanabiliyor?

Bu sorular kabul testine yazıldığında, cevapları sahada ölçülebilir hale gelir.

Nerede Duruyoruz

Kurumların çoğu bugün geçiş dönemindedir. Bir kısmı QUIC’i kapatmış ve sorunu ertelemiş durumda; bir kısmı yeni cihazlarla tanıma yeteneğini kazanmış ama denetim derinliğini kaybetmiş.

Doğru sıralama ölçmekle başlar. Ağınızdan çıkan UDP 443 trafiğinin oranı, kararın aciliyetini belirler. O oran küçükse zaman vardır; büyükse mevcut raporlarınızın bir kısmı zaten eksik demektir.