无服务器 DTLS

DTLS 侦听器 DTLS 侦听器向 UDP 应用程序添加 TLS 样式的加密和身份验证，而无需更改数据报传输模型。客户端与侦听器分配的域和端口建立 DTLS 1.2 或 DTLS 1.3 会话。 Proxylity 解密经过身份验证的应用程序数据，并将明文有效负载传送到您配置的 Destinations 。来自应用程序的响应经过加密并通过同一 DTLS 会话发回。何时使用 DTLS 当您的应用程序已支持 DTLS 或需要加密 UDP 传输同时保留数据报边界时，请选择 DTLS 侦听器。常见示例包括 RADIUS、IoT 协议、实时遥测以及无法使用面向流的 TLS 连接的自定义请求响应协议。 DTLS 也是 Proxylity 的 WebRTC 数据通道路线图上的第一个传输层。 DTLS 侦听器现已可用于本机 DTLS 客户端； SCTP 和 WebRTC 信令是单独的层，不由 DTLS 侦听器提供。 DTLS、UDP 和 WireGuard 功能 UDP 侦听器 DTLS 侦听器 WireGuard 侦听器传输 普通 UDP DTLS 1.2 或 DTLS 1.3 WireGuard 隧道 加密 应用程序责任 TLS 式身份验证加密 WireGuard 身份验证加密 客户端身份验证 客户端限制 证书握手或配置的 PSK 身份 注册对等密钥或开放对等策略 传送到目标的有效负载 UDP 有效负载 解密的应用程序数据 WireGuard 有效负载；可选解封装 典型适合 简单或已加密的协议 具有本机 DTLS 的应用程序支持 VPN 客户端和 IP 隧道 身份验证选项 服务器证书 每个 DTLS 侦听器都会收到由 Proxylity 管理的服务器证书和私钥。该证书标识侦听器分配的端点，并通过 DtlsServerCertificate CloudFormation 属性返回。根据客户端应用程序的信任模型分发该证书或其信任锚。当您需要 CloudFormation 生成新的侦听器证书时，请更改 CertRefreshToken。证书轮换会更改客户端看到的证书，因此在轮换生产端点之前协调信任更新。预共享密钥 对于使用 DTLS-PSK 的客户端，配置 Psks 映射。每个映射密钥是握手期间发送的客户端身份，每个值是相应的 Base64 编码密钥。将 PSK 值存储在 AWS Secrets Manager 或其他受保护的源中，而不是将其提交到模板中。 Cookie 保护 将 RequireCookies 设置为要求在侦听器执行完整握手之前进行 DTLS cookie 交换。 Cookie 有助于确认客户端可以在其声称的源地址接收数据包，并减少放大和资源耗尽的风险。启用 cookie 会为新会话添加一次往返。建议用于公共端点。会话恢复和 0-RTT DTLS 1.3 客户端在完成握手后会收到加密的会话票证。客户端可以在稍后的连接上提供该票证，以使用更少的握手消息恢复会话。票证加密密钥按侦听器进行管理，不会通过 CloudFormation 公开。将AllowEarlyData 设置为“true”，以允许恢复的DTLS 1.3 客户端通过其第一次飞行发送应用程序数据。早期数据可以减少延迟，但应用程序必须将其视为可重放，即使 Proxylity 应用了共享的抗重放过滤器。仅针对遥测更新等幂等操作启用它；请勿将 0-RTT 用于一次性命令、财务操作或其他无法安全重复的操作。 EarlyDataWindowSeconds 控制票证生命周期和重播过滤器窗口。默认值为 3600 秒，接受 1 到 604800 秒（7 天）之间的值。 DTLS 1.2 客户端不使用会话票证或 0-RTT。 DTLS 1.2 连接 ID 支持连接 ID (CID) 的 DTLS 1.2 客户端可以独立于客户端的 IP 地址和 UDP 端口来识别已建立的会话。这允许会话在 NAT 重新绑定、源端口更改以及接入网络之间的转换中继续，而无需执行新的握手。 CID 对于低功耗物联网设备特别有价值。重用已建立的会话可以避免设备唤醒、更改网络或接收新的 NAT 映射后的额外无线电时间、加密工作和握手延迟。不协商 CID 的客户端继续使用由其网络端点标识的标准 DTLS 1.2 会话。 CID 支持必须存在于客户端 DTLS 实现中，并在握手期间进行协商。基本连接工具（例如 openssl s_client）可能无法协商 DTLS 1.2 CID。 CloudFormation 配置 使用 Custom::ProxylityUdpGatewayListener 创建 DTLS 侦听器并将 Protocols 设置为 dtls 。 DTLS 不能与同一侦听器上的 UDP 或 WireGuard 组合使用。 RadiusDtlsListener：类型：自定义::ProxylityUdpGatewayListener 属性：ServiceToken：！FindInMap [ProxylityConfig，！Ref“AWS::Region”，ServiceToken] ApiKey：！F