Hvers vegna proxy Cloudflare getur ekki borið OpenVPN á einu nafni

Ein vél keyrir vefsvæðið og OpenVPN þjóninn, og freistingin er að beina einu hýsilnafni að henni og láta appelsínugula skýið sjá um umferðina. Proxyið sér um HTTP og HTTPS. Það sér ekki um OpenVPN setu, sama hvaða gátt sú seta notar. Tvö nöfn, eitt beint og eitt í gegnum proxy, kosta ekkert og fjarlægja allan þennan flokk ruglings.

Tvö nöfn, tvær flutningsleiðir

Gefðu vefsvæðinu færslu í gegnum proxy svo HTTP og HTTPS umferð þess fari í gegnum Cloudflare. Gefðu VPN-inu færslu með aðeins DNS sem leysist beint í opinbera VPN innganginn, og láttu biðlarann nota UDP eða TCP gáttina sem hann er stilltur fyrir.

Bæði nöfnin geta endað á sömu upprunavélinni. Munurinn er hvað gerist milli biðlarans og þeirrar vélar, og sá munur er tilgangurinn með skiptingunni.

Tilvísun Cloudflare um netgáttir telur upp hvaða gáttir venjulega vefproxyið tekur við. Sá listi fjallar um HTTP og HTTPS á þeim gáttum, ekki um handahófskenndar samskiptareglur sem eiga það til að deila númeri.

Gáttin er ekki samskiptareglan

Að færa OpenVPN á TCP 443 gerir það ekki að HTTPS. Proxyið bíður enn HTTP beiðni við upphaf tengingarinnar, og OpenVPN biðlari sendir tvíundarstýriskilaboð í staðinn. Tengingin mistekst á þann hátt að útlit er eins og netblokkun því ekkert gagnlegt nær í annál.

Ef krafan er í raun að setja Cloudflare vöru í gagnaleið VPN-sins, metið þá sem skjalfestir stuðning við samskiptaregluna sem þú þarft. Ekki gera ráð fyrir að appelsínugula skýið sé almenn TCP eða UDP göng, því það er öfugt proxy fyrir vefumferð með ákveðið verkefni.

Færsla með aðeins DNS er leiðinlega svarið sem virkar, og það er fyrst sem á að grípa til.

Ein vél þarf samt tvo hlustara

Aðskilin nöfn leyfa ekki tveimur ferlum að binda sama vistfang, gátt og flutning á sama tíma. Ef vefþjónninn hefur þegar TCP 443 á öllum vistföngum getur OpenVPN tilvik ekki tekið það líka án vísvitandi ráðstöfunar.

Bindu VPN hlustarann við aðra gátt, eða annað vistfang, eða settu skjalfesta fjölrásara fyrir framan og samþykktu rekstrarkostnaðinn sem fylgir. Hvert þessara vala ætti að sjást í reglum eldveggsins, því hlustari sem enginn skjalfesti er sá sem gleymist í atviki. Skrifaðu valda bindingu í sama handbók og lýsir göngunum. Þá uppgötvar næsta manneskja það ekki aftur klukkan tvö á nóttunni.

Vottorð fylgja tengingunni sem þau vernda

TLS tenging vafrans við Cloudflare og tenging Cloudflare við uppruna þinn eru tvö aðskilin sambönd með tveimur aðskildum vottorðum. Vafrinn sér brúnarvottorð. Uppruninn kynnir eigið vottorð fyrir Cloudflare, og Cloudflare Origin CA vottorð er ætlað nákvæmlega þessu seinna sambandi.

Cloudflare treystir þessu upprunavottorði í Full (strict) ham og það er ekki almennt traust vafravottorð. Ef einhver heimsækir aðeins-DNS hýsilnafnið beint og fær viðvörun, er það væntanleg afleiðing breyttrar traustleiðar, ekki sönnun þess að dulkóðun hafi stöðvast.

Þess vegna þarf vefsvæði sem heimsótt er beint vottorðakeðju sem vafrarnir þess treysta. Það getur verið samhliða proxy-uðu svæði sem uppruni þess er alls ekki ætlaður til heimsóknar.

OpenVPN ber eigin þjónaaðsendingu og biðlarasannvottun, með eigin vottorðayfirvaldi og eigin vernd stýrirásar. Hengilás á vefsvæðinu veitir ekkert af þessu, og ferli tveggja undirbúnings eiga að vera aðskilin.

Útsetning fylgir nafninu

VPN færsla með aðeins DNS birtir vistfangið sem hún bendir á. Ef það vistfang er líka vefuppruninn er uppruninn ekki falinn, og að lýsa honum sem fölgum vegna þess að hitt nafnið er í gegnum proxy er mistök sem lifa þar til einhver skannar eftir honum.

Ákveddu hvaða vefbeiðnir mega ná beint til upprunans og framfylgdu því á upprunanum, leyfðu svo VPN hlustaranum á eigin forsendum. Stjórnborðssíður, prófílniðurhal og gagnahlustarinn geta haft þrjár mismunandi útsetningarkröfur jafnvel þótt ein pakki veiti allar þrjár.

Haltu mynduðum hlekkjum á opinbera vefnafninu og HTTPS skemanu, og haltu biðlaraprófílum á VPN nafninu með raunverulegri samskiptareglu og gátt. Hvor þjónustan á ekki að vera háð því að snúa proxy stillingu hinnar í eðlilegri notkun.

Vinnupöð: proxy-uð nafn fyrir svæðið, aðeins-DNS nafn fyrir VPN-ið, aðskildir hlustarar, vottorð fyrir hvert samband, og svo eitt próf sem sannar að hvert nafn nái aðeins þeirri þjónustu sem það á að ná.