Cén fáth nach féidir le seachfhreastalaí Cloudflare OpenVPN a iompar ar aon ainm amháin

Ritheann aon mheaisín amháin an suíomh gréasáin agus an freastalaí OpenVPN, agus is é an t-olc an t-aon óstainm amháin a dhíriú air agus ligean don scamall oráiste an trácht a réiteach. Réitíonn an seachfhreastalaí HTTP agus HTTPS. Ní réitíonn sé seisiún OpenVPN, cibé port a úsáideann an seisiún sin. Ní chosnaíonn dhá ainm, ceann díreach agus ceann seachfhreastalta, faic agus baineann siad an rang iomlán mearbhaill.

Dhá ainm, dhá iompróir

Tabhair taifead seachfhreastalta don suíomh gréasáin ionas go dtéann a thrácht HTTP agus HTTPS trí Cloudflare. Tabhair taifead DNS amháin don VPN a réitíonn go díreach chuig an mbealach isteach poiblí VPN, agus lig don chliant an port UDP nó TCP a úsáid a bhfuil sé cumraithe dó.

Is féidir leis an dá ainm teacht ar an meaisín foinsí céanna. Is é an difríocht ná cad a tharlaíonn idir an cliant agus an meaisín sin, agus sin é pointe na deighilte.

Liostaíonn treoir phoirt líonra Cloudflare na poirt a nglacann an gnáthsheachfhreastalaí gréasáin leo. Baineann an liosta sin le HTTP agus HTTPS ar na poirt sin, ní le prótacail threallacha a roinneann uimhir trí chomhtharlú.

Ní hé an port an prótacal

Ní dhéanann bogadh OpenVPN go TCP 443 HTTPS de. Bíonn an seachfhreastalaí fós ag súil le hiarratas HTTP ag tús an naisc, agus seolann cliant OpenVPN teachtaireacht rialaithe dhénártha ina ionad. Teipeann an nasc ar bhealach a bhféachann cosúil le bac líonra toisc nach sroicheann aon rud úsáideach loga.

Má tá sé de riachtanas i ndáiríre táirge Cloudflare a chur ar chonair sonraí an VPN, déan measúnú ar cheann a dhoiciméadaíonn tacaíocht don phrótacal a theastaíonn uait. Ná glac leis gur tollán ginearálta TCP nó UDP é an scamall oráiste, mar is seachfhreastalaí droim ar ais é do thrácht gréasáin a bhfuil tasc sonrach aige.

Is é taifead DNS amháin an freagra leadránach a oibríonn, agus is chuige sin is ceart dul ar dtús.

Teastaíonn dhá éisteoir ó mheaisín fós

Ní ligeann ainmneacha deighilte do dhá phróiseas an seoladh, an port agus an t-iompróir céanna a cheangal ag an am céanna. Má tá TCP 443 ag an bhfreastalaí gréasáin cheana féin ar gach seoladh, ní féidir le hásc OpenVPN é a ghlacadh freisin gan socrú d'aon ghnó.

Ceangail éisteoir an VPN le port eile, nó le seoladh eile, nó cuir ilphléacsóir doiciméadaithe chun tosaigh agus glac leis an gcostas oibriúcháin a ghabhann leis. Ba chóir gach ceann de na roghanna sin a bheith le feiceáil i rialacha an bhalla dóiteáin, mar is é an t-éisteoir nach ndoiciméadaigh aon duine an ceann a chailleann le linn eachtra. Scríobh an ceangal roghnaithe sa runbook céanna a chuireann síos ar an tollán. Ansin ní athaimseoidh an chéad duine eile é ag a dó ar maidin.

Leanann na teastais an nasc a chosnaíonn siad

Is dhá chaidreamh ar leithligh iad nasc TLS an bhrabhsálaí le Cloudflare agus nasc Cloudflare le do fhoinse, le dhá theastas ar leithligh. Feiceann an brabhsálaí teastas imeall. Cuireann an fhoinse a theastas féin i láthair Cloudflare, agus tá teastas Cloudflare Origin CA ceaptha go díreach don dara caidreamh sin.

Tá muinín ag Cloudflare as an teastas foinse sin sa mhód Full (strict) agus ní teastas brabhsálaí a bhfuil muinín ghinearálta as é. Má thugann duine cuairt dhíreach ar an óstainm DNS amháin agus má fhaigheann sé rabhadh, is é sin an toradh a mbeifí ag súil leis ó chonair mhuiníne a athraíodh, ní cruthúnas gur stop an criptiú.

Mar sin teastaíonn slabhra teastas ó shuíomh gréasáin a dtugtar cuairt dhíreach air a mbíonn muinín ag a bhrabhsálaithe as. Is féidir leis sin comhbheith ann le suíomh seachfhreastalta nach bhfuil a fhoinse ceaptha le cuairt a thabhairt air ar chor ar bith.

Iompraíonn OpenVPN a chéannacht freastalaí féin agus a fhíordheimhniú cliaint féin, lena údarás teastais féin agus lena chosaint féin ar an gcainéal rialaithe. Ní sholáthraíonn glas ar an suíomh gréasáin aon rud díobh sin, agus ba chóir don dá phróiseas soláthair fanacht ar leithligh.

Leanann an nochtadh an ainm

Foilsíonn taifead VPN DNS amháin an seoladh a dhíríonn sé air. Má tá an seoladh sin mar fhoinse gréasáin freisin, níl an fhoinse i bhfolach, agus is botún é a thuairisciú mar rud i bhfolach toisc go bhfuil an t-ainm eile seachfhreastalta a mhaireann go dtí go ndéanann duine scanadh air.

Socraigh cé na hiarratais ghréasáin a fhéadfaidh teacht go díreach ar an bhfoinse agus cuir i bhfeidhm ag an bhfoinse é, ansin ceadaigh éisteoir an VPN ar a théarmaí féin. Is féidir le leathanaigh bhainistíochta, íoslódálacha próifíle agus an t-éisteoir sonraí trí riachtanas nochtadh éagsúla a bheith acu fiú nuair a sholáthraíonn aon phacáiste an triúr acu.

Coinnigh naisc ghinte ar an ainm gréasáin phoiblí agus ar an scéim HTTPS, agus coinnigh próifílí cliaint ar ainm an VPN leis an bprótacal agus an port fíor. Níor chóir do cheachtar seirbhís brath ar shocrú seachfhreastalaí an cheann eile a iompú le linn oibriúcháin normal.

Ord na hoibre: ainm seachfhreastalta don suíomh, ainm DNS amháin don VPN, éisteoirí ar leithligh, teastas in aghaidh an chaidrimh, agus ansin tástáil amháin a chruthaíonn nach sroicheann gach ainm ach an tseirbhís ar cheart dó.