Wêrom't de proxy fan Cloudflare OpenVPN net op ien namme drage kin

Ien masine draait de webside en de OpenVPN-tsjinner, en de ferlieding is om ien hostnamme dêrop te rjochtsjen en de oranje wolk it ferkear ôfhelje te litten. De proxy hellet HTTP en HTTPS ôf. Hy hellet gjin OpenVPN-sesje ôf, hokker poarte dy sesje ek brûkt. Twa nammen, ien direkt en ien fia de proxy, kostje neat en nimme de hiele klasse fan betizing wei.

Twa nammen, twa transporten

Jow de webside in proxye rekord sadat har HTTP- en HTTPS-ferkear troch Cloudflare giet. Jow it VPN in allinnich-DNS-rekord dat rjochtstreeks nei de iepenbiere VPN-yngong oplost, en lit de klant de UDP- of TCP-poarte brûke wêrfoar't er konfigurearre is.

Beide nammen kinne op deselde oarsprongsmasine belanje. It ferskil is wat der tusken de klant en dy masine bart, en dat ferskil is it punt fan 'e splitsing.

Cloudflare's netwurkpoarte-ynformaasje listet op hokker poarten de gewoane webproxy akseptearret. Dy list giet oer HTTP en HTTPS op dy poarten, net oer willekeurige protokollen dy't tafallich in nûmer diele.

De poarte is net it protokol

It ferpleatsen fan OpenVPN nei TCP 443 makket it gjin HTTPS. De proxy ferwachtet noch altyd in HTTP-fersyk oan it begjin fan 'e ferbining, en in OpenVPN-klant stjoert ynstee in binêre kontrôleberjocht. De ferbining mislearret op in wize dy't op in netwurkblokkade liket, om't neat nuttichs in log berikt.

As de eask echt is om in Cloudflare-produkt yn it VPN-datapaad te setten, evaluearje dan ien dat stipe foar it protokol dat jo nedich hawwe dokumintearret. Nim net oan dat de oranje wolk in algemiene TCP- of UDP-tunnel is, want it is in omkearde proxy foar webferkear mei in spesifike taak.

In allinnich-DNS-rekord is it ferfeelsume antwurd dat wurket, en it is dejinge dêr't jo earst nei gripe moatte.

Ien masine hat noch altyd twa lústerers nedich

Skieden nammen litte twa prosessen net tagelyk itselde adres, poarte en transport bine. As de webserver al TCP 443 op alle adressen hat, kin in OpenVPN-eksimplaar it net ek nimme sûnder in bewuste regeling.

Bin it VPN-lústerer oan in oare poarte, of oan in oar adres, of set in dokumintearre multiplekser foarôf en akseptearje de operasjonele kosten dy't dêrmei komt. Elk fan dy karren moat sichtber wêze yn 'e firewall-regels, want in lústerer dy't nimmen dokumintearre hat is dejinge dy't by in ynsidint mist wurdt. Skriuw de keazen bining yn deselde runbook dy't de tunnel beskriuwt. Dan ûntdekt de folgjende persoan it net wer om twa oere nachts.

Sertifikaten folgje de ferbining dy't se beskermje

De TLS-ferbining fan 'e browser nei Cloudflare en de ferbining fan Cloudflare nei jo oarsprong binne twa aparte relaasjes mei twa aparte sertifikaten. De browser sjocht in rânsertifikaat. De oarsprong presintearret Cloudflare syn eigen sertifikaat, en in Cloudflare Origin CA-sertifikaat is krekt foar dy twadde relaasje bedoeld.

Dat oarsprongssertifikaat wurdt troch Cloudflare fertroud yn 'e modus Full (strict) en it is gjin algemien fertroud browsersertifikaat. As immen de allinnich-DNS-hostnamme direkt besiket en in warskôging krijt, is dat it ferwachte gefolch fan in feroare fertrouwenspaad, net it bewiis dat fersifering opholden is.

In webside dy't direkt besocht wurdt, hat dus in sertifikaatkeatling nedich dy't har browsers fertrouwe. Dat kin bestean neist in proxye side waans oarsprong hielendal net bedoeld is om besocht te wurden.

OpenVPN draacht syn eigen tsjinneridentiteit en kliïntautentikaasje, mei syn eigen sertifikaatautoriteit en syn eigen beskerming fan it kontrôlekanaal. In slot op 'e webside leveret dêr neat fan, en de twa foarsjenningprosessen moatte skieden bliuwe.

Bleatstelling folget de namme

In allinnich-DNS-VPN-rekord publisearret it adres dêr't it nei wiist. As dat adres ek de web-oarsprong is, is de oarsprong net ferburgen, en it beskriuwen as ferburgen om't de oare namme proxye is, is in flater dy't bliuwt oant immen derop skant.

Beslis hokker webfersiken de oarsprong direkt berikke meie en hanthavenje dat by de oarsprong, lit dan it VPN-lústerer ta op syn eigen betingsten. Behearspagina's, profyldownloads en it datalústerer kinne trije ferskillende bleatstellings-easken hawwe sels as ien pakket alle trije leveret.

Hâld generearre keppelingen op 'e iepenbiere webnamme en it HTTPS-skema, en hâld kliïntprofilen op 'e VPN-namme mei it echte protokol en de poarte. Gjin fan beide tsjinsten moat by normaal bedriuw ôfhingje fan it omkearen fan 'e proxy-ynstelling fan 'e oare.

Wurkfolchoarder: proxye namme foar de side, allinnich-DNS-namme foar it VPN, aparte lústerers, sertifikaat per relaasje, en dan ien test dy't bewist dat elke namme allinnich de tsjinst berikt dy't it moat.