Zergatik Cloudflare-ren proxyak ezin duen OpenVPN eraman izen bakarrean

Makina batek webgunea eta OpenVPN zerbitzaria exekutatzen ditu, eta tentazioa da host-izen bakarra hari seinalatzea eta hodei laranjari trafikoaz arduratzen uztea. Proxyak HTTP eta HTTPS konpontzen ditu. Ez du OpenVPN saio bat konpontzen, saio horrek erabiltzen duen portua edozein dela ere. Bi izenek, bat zuzena eta bestea proxy bidezkoa, ez dute ezer balio eta nahasmen klase osoa ezabatzen dute.

Bi izen, bi garraio

Eman webguneari proxy bidezko erregistro bat, haren HTTP eta HTTPS trafikoa Cloudflare-tik pasa dadin. Eman VPNari DNS bakarreko erregistro bat, zuzenean VPN sarrera publikora ebazten dena, eta utzi bezeroari konfiguratuta dagoen UDP edo TCP portua erabiltzen.

Bi izenak jatorrizko makina berera irits daitezke. Aldea bezeroaren eta makina horren artean gertatzen dena da, eta alde hori da banaketaren zentzua.

Cloudflare-ren sare-portuen erreferentziak zerrendatzen du web-proxy arruntak zein portu onartzen dituen. Zerrenda hori portu horietako HTTP eta HTTPSari buruzkoa da, ez kasualitatez zenbaki bat partekatzen duten protokolo arbitrarioei buruzkoa.

Portua ez da protokoloa

OpenVPN TCP 443ra mugitzeak ez du HTTPS bihurtzen. Proxyak HTTP eskaera bat itxaroten du oraindik konexioaren hasieran, eta OpenVPN bezeroak kontrol-mezu bitar bat bidaltzen du horren ordez. Konexioak sare-blokeo baten itxura duen moduan huts egiten du, log batera ezer erabilgarririk iristen ez delako.

Baldintza benetan Cloudflare produktu bat VPNaren datu-bidean jartzea bada, ebaluatu behar duzun protokoloaren euskarria dokumentatzen duen bat. Ez ezazu pentsa hodei laranja TCP edo UDP tunel orokorra denik, web trafikoarentzako alderantzizko proxy bat baita, zeregin zehatz batekin.

DNS bakarreko erregistroa funtzionatzen duen erantzun aspergarria da, eta lehenengo jo beharrekoa da.

Makinak oraindik bi entzule behar ditu

Izen bananduek ez diete bi prozesuri aldi berean helbide, portu eta garraio bera lotzen uzten. Web zerbitzariak TCP 443 jada helbide guztietan badu, OpenVPN instantzia batek ezin du hura ere hartu nahitako akordiorik gabe.

Lotu VPN entzulea beste portu batera, edo beste helbide batera, edo jarri aurretik dokumentatutako multiplexadore bat eta onartu horrekin datorren kostu operatiboa. Aukera horietako bakoitza suebakiko arauetan ikusgarri egon behar da, inork dokumentatu ez duen entzulea baita gorabehera batean ahazten dena. Idatzi aukeratutako lotura tunela deskribatzen duen runbook berean. Orduan hurrengo pertsonak ez du gauerdiko ordu bietan berriro aurkituko.

Ziurtagiriek babesten duten konexioari jarraitzen diote

Nabigatzaileak Cloudflarera duen TLS konexioa eta Cloudflare-k zure jatorrira duen konexioa bi harreman bereizi dira, bi ziurtagiri bereizirekin. Nabigatzaileak ertz-ziurtagiri bat ikusten du. Jatorriak bere ziurtagiria aurkezten dio Cloudflareri, eta Cloudflare Origin CA ziurtagiria bigarren harreman horretarako da zehazki.

Jatorri-ziurtagiri hori Cloudflare-k Full (strict) moduan fidatzen du eta ez da oro har fidatutako nabigatzaile-ziurtagiri bat. Norbait DNS bakarreko host-izenera zuzenean sartu eta abisua jasotzen badu, fidatze-bide aldatuaren ondorio espero da, ez enkriptazioa gelditu zenaren froga.

Beraz, zuzenean bisitatzen den webgune batek bere nabigatzaileek fidatzen duten ziurtagiri-kate bat behar du. Horrek batera egon daiteke jatorria bisitatzeko asmorik ez duen proxy bidezko gune batekin.

OpenVPNak bere zerbitzari-nortasuna eta bezero-autentifikazioa daramatza, bere ziurtagiri-agintaritzarekin eta bere kontrol-kanalaren babesarekin. Webguneko giltzarrapoak ez du horietako ezer ematen, eta bi hornikuntza-prozesuek bereizi behar dute.

Esposizioa izenari jarraitzen dio

DNS bakarreko VPN erregistroak seinalatzen duen helbidea argitaratzen du. Helbide hori web jatorria ere bada, jatorria ez dago ezkutatuta, eta bestea proxy bidezkoa delako ezkutatuta bezala deskribatzea norbaitek horren bila eskaneatzen duen arte irauten duen akatsa da.

Erabaki zein web eskaerek irits daitezkeen zuzenean jatorrira eta betearazi jatorrian, eta gero baimendu VPN entzulea bere baldintzetan. Kudeaketa-orriak, profil deskargak eta datu-entzuleak hiru esposizio-baldintza ezberdin izan ditzakete pakete batek hirurak ematen dituenean ere.

Mantendu sortutako estekak web izen publikoan eta HTTPS eskemarekin, eta bezero-profilak VPN izenean benetako protokoloarekin eta portuarekin. Bi zerbitzuek ez lukete besteen proxy ezarpena aldatzearen mende egon behar funtzionamendu arruntean.

Lan-ordena: proxy bidezko izena gunearentzat, DNS bakarreko izena VPNarentzat, entzule bereiziak, harreman bakoitzeko ziurtagiria, eta gero proba bat frogatzen duena izen bakoitzak soilik behar duen zerbitzura iristen dela.