Miért nem tudja a Cloudflare proxy egyetlen néven szállítani az OpenVPN-t

Egy gép futtatja a webhelyet és az OpenVPN-kiszolgálót, és a kísértés az, hogy egyetlen gépnevet irányítsunk rá, és hagyjuk, hogy a narancssárga felhő rendezze a forgalmat. A proxy a HTTP-t és a HTTPS-t rendezi. Nem rendezi az OpenVPN-munkamenetet, bármelyik portot is használja az a munkamenet. Két név, egy közvetlen és egy proxyzott, semmibe sem kerül, és megszünteti a zavar teljes osztályát.

Két név, két átvitel

Adjon a webhelynek proxyzott rekordot, hogy HTTP- és HTTPS-forgalma a Cloudflare-en át menjen. Adjon a VPN-nek csak DNS-es rekordot, amely közvetlenül a nyilvános VPN-belépőre oldódik fel, és hagyja, hogy a kliens az UDP- vagy TCP-portot használja, amelyre beállították.

Mindkét név ugyanarra a forrásgépre juthat. A különbség az, ami a kliens és az a gép között történik, és ez a különbség a szétválasztás értelme.

A Cloudflare hálózati portreferenciája felsorolja, mely portokat fogadja el a szokásos webproxy. Az a lista ezeken a portokon a HTTP-ről és a HTTPS-ről szól, nem olyan önkényes protokollokról, amelyek véletlenül ugyanazt a számot használják.

A port nem a protokoll

Az OpenVPN TCP 443-ra helyezése nem teszi HTTPS-sé. A proxy továbbra is HTTP-kérést vár a kapcsolat elején, az OpenVPN-kliens pedig bináris vezérlőüzenetet küld helyette. A kapcsolat olyan módon hibázik, amely hálózati blokkolásnak látszik, mert semmi hasznos nem jut el a naplóba.

Ha a követelmény valóban az, hogy Cloudflare-terméket tegyünk a VPN adatútjára, olyat értékeljen, amely dokumentálja a szükséges protokoll támogatását. Ne feltételezze, hogy a narancssárga felhő általános TCP- vagy UDP-alagút, mert ez egy fordított proxy webes forgalomhoz, meghatározott feladattal.

A csak DNS-es rekord az unalmas válasz, amely működik, és elsőként ehhez kell nyúlni.

Egy gépnek továbbra is két figyelő kell

A szétválasztott nevek nem engedik, hogy két folyamat egyszerre kösse le ugyanazt a címet, portot és átvitelt. Ha a webkiszolgáló már minden címen birtokolja a TCP 443-at, egy OpenVPN-példány nem tudja azt is átvenni szándékos megállapodás nélkül.

Kösse a VPN-figyelőt másik portra, vagy másik címre, vagy tegyen elé dokumentált multiplexert, és fogadja el a vele járó üzemeltetési költséget. Ezeknek a választásoknak láthatóknak kell lenniük a tűzfal szabályaiban, mert az a figyelő, amelyet senki sem dokumentált, az, amelyet egy incidens során kihagynak. Írja a választott kötést ugyanabba a runbookba, amely az alagutat leírja. Akkor a következő ember nem fedezi fel újra hajnali kettőkor.

A tanúsítványok követik a kapcsolatot, amelyet védenek

A böngésző TLS-kapcsolata a Cloudflare-hez és a Cloudflare kapcsolata az Ön forrásához két külön kapcsolat, két külön tanúsítvánnyal. A böngésző peremtanúsítványt lát. A forrás a saját tanúsítványát mutatja be a Cloudflare-nek, és a Cloudflare Origin CA tanúsítvány pontosan erre a második kapcsolatra készült.

Ezt a forrástanúsítványt a Cloudflare a Full (strict) módban bízik meg, és ez nem általánosan megbízható böngészőtanúsítvány. Ha valaki közvetlenül meglátogatja a csak DNS-es gépnevet, és figyelmeztetést kap, ez a megváltozott bizalmi útvonal várható következménye, nem annak bizonyítéka, hogy a titkosítás leállt.

Ezért a közvetlenül látogatott webhelynek olyan tanúsítványláncra van szüksége, amelyben a böngészői megbíznak. Ez együtt létezhet olyan proxyzott oldallal, amelynek forrását egyáltalán nem látogatásra szánták.

Az OpenVPN a saját kiszolgálóidentitását és ügyfélhitelesítését hordozza, saját tanúsítványhatóságával és saját vezérlőcsatorna-védelmével. A webhelyen lévő lakat ebből semmit nem nyújt, és a két előkészítési folyamatnak külön kell maradnia.

A kitettség követi a nevet

A csak DNS-es VPN-rekord közzéteszi azt a címet, amelyre mutat. Ha ez a cím egyben a webes forrás is, a forrás nincs elrejtve, és elrejtettként leírni azért, mert a másik név proxyzott, olyan hiba, amely addig marad, amíg valaki rá nem szkennel.

Döntse el, mely webkérések érhetik el közvetlenül a forrást, és érvényesítse ezt a forrásnál, majd engedélyezze a VPN-figyelőt a saját feltételei szerint. Az adminisztrációs oldalak, a profilletöltések és az adatfigyelő három különböző kitettségi követelménnyel rendelkezhetnek akkor is, ha egy csomag mindhármat biztosítja.

Tartsa a generált hivatkozásokat a nyilvános webnéven és HTTPS-sémán, a kliensprofilokat pedig a VPN-néven a valódi protokollal és porttal. Egyik szolgáltatásnak sem szabad a normál működés során a másik proxybeállításának átkapcsolásától függenie.

A munka sorrendje: proxyzott név a webhelynek, csak DNS-es név a VPN-nek, külön figyelők, kapcsolatonkénti tanúsítvány, majd egy teszt, amely bizonyítja, hogy minden név csak azt a szolgáltatást éri el, amelyet kell.