Pam na all dirprwy Cloudflare gludo OpenVPN ar un enw

Mae un peiriant yn rhedeg y wefan a'r gweinydd OpenVPN, a'r temtasiwn yw cyfeirio un enw gwesteiwr ato a gadael i'r cwmwl oren drefnu'r traffig. Mae'r dirprwy yn trefnu HTTP a HTTPS. Nid yw'n trefnu sesiwn OpenVPN, pa borth bynnag y mae'r sesiwn honno'n ei ddefnyddio. Mae dau enw, un yn uniongyrchol ac un wedi'i ddirprwyo, yn costio dim ac yn dileu'r dosbarth cyfan o ddryswch.

Dau enw, dwy gludfa

Rhowch gofnod wedi'i ddirprwyo i'r wefan fel bod ei thraffig HTTP a HTTPS yn mynd trwy Cloudflare. Rhowch gofnod DNS-yn-unig i'r VPN sy'n datrys yn syth i fynedfa gyhoeddus y VPN, a gadewch i'r cleient ddefnyddio'r porth UDP neu TCP y cafodd ei ffurfweddu ar ei gyfer.

Gall y ddau enw ddod i ben ar yr un peiriant tarddiad. Y gwahaniaeth yw beth sy'n digwydd rhwng y cleient a'r peiriant hwnnw, a'r gwahaniaeth hwnnw yw pwynt y rhaniad.

Mae cyfeirlyfr porthau rhwydwaith Cloudflare yn rhestru pa borthau y mae'r dirprwy gwe cyffredin yn eu derbyn. Mae'r rhestr honno'n ymwneud ag HTTP a HTTPS ar y porthau hynny, nid â phrotocolau mympwyol sy'n digwydd rhannu rhif.

Nid y porth yw'r protocol

Nid yw symud OpenVPN i TCP 443 yn ei droi'n HTTPS. Mae'r dirprwy yn dal i ddisgwyl cais HTTP ar ddechrau'r cysylltiad, ac mae cleient OpenVPN yn anfon neges reoli deuaidd yn lle hynny. Mae'r cysylltiad yn methu mewn ffordd sy'n edrych fel bloc rhwydwaith oherwydd nad oes dim defnyddiol yn cyrraedd log.

Os yw'r gofyniad mewn gwirionedd yn golygu rhoi cynnyrch Cloudflare yn llwybr data'r VPN, gwerthuswch un sy'n dogfennu cefnogaeth ar gyfer y protocol sydd ei angen arnoch. Peidiwch â chymryd yn ganiataol bod y cwmwl oren yn dwnnel TCP neu UDP cyffredinol, oherwydd mae'n ddirprwy gwrthdro ar gyfer traffig gwe â swydd benodol.

Cofnod DNS-yn-unig yw'r ateb diflas sy'n gweithio, a dyma'r un y dylid ei gyrraedd gyntaf.

Mae angen dau wrandawr ar un peiriant o hyd

Nid yw enwau ar wahân yn caniatáu i ddau broses rwymo'r un cyfeiriad, porth a chludwr ar yr un pryd. Os yw'r gweinydd gwe eisoes yn dal TCP 443 ar bob cyfeiriad, ni all achos OpenVPN ei gymryd hefyd heb drefniant bwriadol.

Rhwymwch wrandawr y VPN i borth gwahanol, neu i gyfeiriad gwahanol, neu rhowch amlblecsydd wedi'i ddogfennu o'i flaen a derbyniwch y gost weithredol sy'n dod gyda hynny. Dylai pob un o'r dewisiadau hynny fod yn weladwy yn rheolau'r mur rhwystr, oherwydd y gwrandawr na ddogfennodd neb mohono yw'r un sy'n cael ei fethu yn ystod digwyddiad. Ysgrifennwch y rhwymiad a ddewiswyd yn yr un llyfr gweithredu sy'n disgrifio'r twnnel. Yna ni fydd y person nesaf yn ei ailddarganfod am ddau o'r gloch y bore.

Mae tystysgrifau'n dilyn y cysylltiad maen nhw'n ei amddiffyn

Mae cysylltiad TLS y porwr â Cloudflare a chysylltiad Cloudflare â'ch tarddiad yn ddau berthynas ar wahân gyda dwy dystysgrif ar wahân. Mae'r porwr yn gweld tystysgrif ymyl. Mae'r tarddiad yn cyflwyno ei dystysgrif ei hun i Cloudflare, ac mae tystysgrif Cloudflare Origin CA wedi'i bwriadu ar gyfer yr ail berthynas honno'n union.

Mae Cloudflare yn ymddiried yn y dystysgrif tarddiad honno yn y modd Full (strict) ac nid yw'n dystysgrif porwr a ymddiriedir yn gyffredinol. Os bydd rhywun yn ymweld â'r enw gwesteiwr DNS-yn-unig yn uniongyrchol ac yn cael rhybudd, canlyniad disgwyliedig llwybr ymddiriedaeth wedi newid yw hynny, nid tystiolaeth bod amgryptio wedi stopio.

Felly mae angen cadwyn o dystysgrifau y mae ei phorwyr yn ymddiried ynddi ar wefan a ymwelir â hi'n uniongyrchol. Gall hynny gydfodoli â safle wedi'i ddirprwyo nad oes bwriad ymweld â'i darddiad o gwbl.

Mae OpenVPN yn cario ei hunaniaeth gweinydd a'i ddilysu cleient ei hun, gyda'i awdurdod tystysgrifau ei hun a'i amddiffyniad sianel reoli ei hun. Nid yw clo ar y wefan yn darparu dim o hynny, a dylai'r ddau broses ddarparu aros ar wahân.

Mae amlygiad yn dilyn yr enw

Mae cofnod VPN DNS-yn-unig yn cyhoeddi'r cyfeiriad y mae'n cyfeirio ato. Os yw'r cyfeiriad hwnnw hefyd yn darddiad gwe, nid yw'r tarddiad yn gudd, ac mae ei ddisgrifio fel un cudd oherwydd bod y llall wedi'i ddirprwyo yn gam sy'n para nes bod rhywun yn sganio amdano.

Penderfynwch pa geisiadau gwe a gaiff gyrraedd y tarddiad yn uniongyrchol a gorfodwch hynny yn y tarddiad, yna caniathewch wrandawr y VPN ar ei delerau ei hun. Gall tudalennau rheoli, lawrlwythiadau proffil a'r gwrandawr data fod â thri gofyniad amlygiad gwahanol hyd yn oed pan fo un pecyn yn darparu'r tri.

Cadwch gysylltau a gynhyrchwyd ar yr enw gwe cyhoeddus a'r cynllun HTTPS, a chadwch broffiliau cleient ar enw'r VPN gyda'r protocol a'r porth go iawn. Ni ddylai'r naill wasanaeth na'r llall ddibynnu ar droi gosodiad dirprwy'r llall yn ystod gweithrediad arferol.

Trefn y gwaith: enw wedi'i ddirprwyo ar gyfer y safle, enw DNS-yn-unig ar gyfer y VPN, gwrandawyr ar wahân, tystysgrif fesul perthynas, yna un prawf sy'n profi bod pob enw'n cyrraedd y gwasanaeth y dylai'n unig.