Неге Cloudflare проксиі OpenVPN-ды бір атауда тасымалдай алмайды

Бір машина сайтты да, OpenVPN серверін де іске қосады, ал азғыру — бір хост атауын соған бағыттап, қызғылт сары бұлт трафикті реттесін деп қалдыру. Прокси HTTP мен HTTPS-ті реттейді. Ол OpenVPN сессиясын реттемейді, бұл сессия қай портты пайдаланса да. Екі атау, біреуі тікелей, екіншісі прокси арқылы, ештеңе тұрмайды және шатасудың бүкіл тобын жояды.

Екі атау, екі тасымал

Сайтқа прокси арқылы жазба беріңіз, оның HTTP және HTTPS трафигі Cloudflare арқылы өтсін. VPN-ге тек DNS жазбасын беріңіз, ол тікелей жалпыға қолжетімді VPN кіреберісіне шешіледі, ал клиент өзіне конфигурацияланған UDP немесе TCP портын пайдалансын.

Екі атау да бір бастапқы машинаға келуі мүмкін. Айырмашылық клиент пен сол машина арасында не болып жатқанында, және бұл айырмашылық бөлудің мәні.

Cloudflare-дың желілік порттар анықтамасы қарапайым веб-прокси қандай порттарды қабылдайтынын тізімдейді. Бұл тізім сол порттардағы HTTP мен HTTPS туралы, кездейсоқ бір нөмірді бөлісетін ерікті протоколдар туралы емес.

Порт — протокол емес

OpenVPN-ды TCP 443-ке көшіру оны HTTPS-ке айналдырмайды. Прокси әлі де қосылым басында HTTP сұранысын күтеді, ал OpenVPN клиенті оның орнына екілік басқару хабарламасын жібереді. Қосылым желілік бөгетке ұқсайтын түрде сәтсіз аяқталады, өйткені журналға пайдалы ештеңе жетпейді.

Егер талап шынымен VPN деректер жолына Cloudflare өнімін қою болса, сізге қажет протоколды қолдайтынын құжаттайтын өнімді бағалаңыз. Қызғылт сары бұлтты жалпы TCP немесе UDP туннелі деп ойламаңыз, өйткені ол нақты міндеті бар веб-трафикке арналған кері прокси.

Тек DNS жазбасы — жұмыс істейтін жалықтырарлық жауап, және оған бірінші жүгіну керек.

Бір машинаға әлі де екі тыңдаушы қажет

Бөлек атаулар екі процесс бір уақытта бір мекенжайды, портты және тасымалды ұстауына жол бермейді. Егер веб-сервер бүкіл мекенжайларда TCP 443-ті ұстап тұрса, OpenVPN данасы оны әдейі келісімсіз де ала алмайды.

VPN тыңдаушысын басқа портқа, немесе басқа мекенжайға байлаңыз, немесе алдына құжатталған мультиплексор қойып, онымен келетін операциялық шығынды қабылдаңыз. Осы таңдаулардың әрқайсысы брандмауэр ережелерінде көрінуі керек, өйткені ешкім құжаттамаған тыңдаушы оқиға кезінде назардан тыс қалатын тыңдаушы. Таңдалған байланысты туннельді сипаттайтын сол runbook-қа жазыңыз. Сонда келесі адам оны түнде екіде қайта ашпайды.

Сертификаттар өздері қорғайтын қосылымға ереді

Браузердің Cloudflare-ға TLS қосылымы мен Cloudflare-дың сіздің бастапқы көзіңізге қосылымы — екі бөлек сертификаты бар екі бөлек қатынас. Браузер шеткі сертификатты көреді. Бастапқы көз Cloudflare-ға өз сертификатын ұсынады, ал Cloudflare Origin CA сертификаты дәл осы екінші қатынасқа арналған.

Бұл бастапқы сертификатқа Cloudflare Full (strict) режимінде сенеді және ол жалпы сенімді браузер сертификаты емес. Егер біреу тек DNS хост атауына тікелей кіріп, ескерту алса, бұл сенім жолының өзгеруінің күтілетін салдары, шифрлаудың тоқтағанының дәлелі емес.

Сондықтан тікелей кіретін сайтқа оның браузерлері сенетін сертификаттар тізбегі қажет. Бұл бастапқы көзі мүлдем кіруге арналмаған проксиленген сайтпен қатар өмір сүре алады.

OpenVPN өз серверлік сәйкестігін және клиенттік аутентификациясын өз сертификат орталығымен және өз басқару арнасының қорғанысымен алып жүреді. Сайттағы құлып олардың ешқайсысын бермейді, және екі дайындау процесі бөлек қалуы керек.

Әсер ету атауға ереді

Тек DNS VPN жазбасы өзі сілтейтін мекенжайды жариялайды. Егер бұл мекенжай веб-бастапқы көз де болса, бастапқы көз жасырын емес, және оны басқа атау проксиленгендіктен жасырын деп сипаттау — біреу оны сканерлегенше сақталатын қате.

Қандай веб-сұраныстар бастапқы көзге тікелей жете алатынын шешіп, оны бастапқы көзде орындаңыз, содан кейін VPN тыңдаушысына өз шарттарымен рұқсат беріңіз. Басқару беттері, профиль жүктеулері және деректер тыңдаушысы бір пакет үшеуін де ұсынса да, үш түрлі әсер ету талабына ие болуы мүмкін.

Жасалған сілтемелерді жалпыға қолжетімді веб атауда және HTTPS схемасында ұстаңыз, ал клиент профильдерін VPN атауында нақты протоколмен және портпен ұстаңыз. Қалыпты жұмыс кезінде екі қызметтің ешқайсысы екіншісінің прокси параметрін аударуға тәуелді болмауы керек.

Жұмыс тәртібі: сайтқа проксиленген атау, VPN-ге тек DNS атауы, бөлек тыңдаушылар, әр қатынасқа сертификат, содан кейін әр атаудың тек өзіне тиесілі қызметке жететінін дәлелдейтін бір тест.