Cloudflare ಪ್ರಾಕ್ಸಿ ಒಂದೇ ಹೆಸರಿನಲ್ಲಿ OpenVPN ಅನ್ನು ಏಕೆ ಸಾಗಿಸಲಾರದು

ಒಂದೇ ಯಂತ್ರ ವೆಬ್ಸೈಟ್ ಮತ್ತು OpenVPN ಸರ್ವರ್ ಎರಡನ್ನೂ ನಡೆಸುತ್ತದೆ, ಮತ್ತು ಒಂದು ಹೋಸ್ಟ್‌ನಾಮ್ ಅದರ ಕಡೆಗೆ ತೋರಿಸಿ ಕಿತ್ತಳೆ ಮೋಡವು ಸಂಚಾರವನ್ನು ಸರಿಪಡಿಸಲಿ ಎಂದು ಬಿಡುವುದು ಪ್ರಲೋಭನೆ. ಪ್ರಾಕ್ಸಿ HTTP ಮತ್ತು HTTPS ಅನ್ನು ಸರಿಪಡಿಸುತ್ತದೆ. ಅದು OpenVPN ಸೆಷನ್ ಅನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ, ಆ ಸೆಷನ್ ಯಾವ ಪೋರ್ಟ್ ಬಳಸಿದರೂ. ಎರಡು ಹೆಸರುಗಳು, ಒಂದು ನೇರ ಮತ್ತು ಒಂದು ಪ್ರಾಕ್ಸಿ ಮೂಲಕ, ಏನೂ ವೆಚ್ಚ ಮಾಡುವುದಿಲ್ಲ ಮತ್ತು ಗೊಂದಲದ ಇಡೀ ವರ್ಗವನ್ನು ತೆಗೆದುಹಾಕುತ್ತವೆ.

ಎರಡು ಹೆಸರುಗಳು, ಎರಡು ಸಾಗಣೆಗಳು

ವೆಬ್‌ಸೈಟ್‌ಗೆ ಪ್ರಾಕ್ಸಿ ಮಾಡಿದ ದಾಖಲೆಯನ್ನು ನೀಡಿ, ಅದರ HTTP ಮತ್ತು HTTPS ಸಂಚಾರ Cloudflare ಮೂಲಕ ಹೋಗಲಿ. VPN ಗೆ ಕೇವಲ-DNS ದಾಖಲೆಯನ್ನು ನೀಡಿ, ಅದು ನೇರವಾಗಿ ಸಾರ್ವಜನಿಕ VPN ಪ್ರವೇಶಕ್ಕೆ ಪರಿಹರಿಸುತ್ತದೆ, ಮತ್ತು ಕ್ಲೈಂಟ್ ತನಗೆ ಸಂರಚಿಸಲಾದ UDP ಅಥವಾ TCP ಪೋರ್ಟ್ ಬಳಸಲಿ.

ಎರಡೂ ಹೆಸರುಗಳು ಒಂದೇ ಮೂಲ ಯಂತ್ರವನ್ನು ತಲುಪಬಹುದು. ವ್ಯತ್ಯಾಸವೆಂದರೆ ಕ್ಲೈಂಟ್ ಮತ್ತು ಆ ಯಂತ್ರದ ನಡುವೆ ಏನಾಗುತ್ತದೆ, ಮತ್ತು ಆ ವ್ಯತ್ಯಾಸವೇ ವಿಭಜನೆಯ ಉದ್ದೇಶ.

Cloudflare ನ ನೆಟ್‌ವರ್ಕ್-ಪೋರ್ಟ್ ಉಲ್ಲೇಖ ಸಾಮಾನ್ಯ ವೆಬ್ ಪ್ರಾಕ್ಸಿ ಯಾವ ಪೋರ್ಟ್‌ಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂದು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ. ಆ ಪಟ್ಟಿ ಆ ಪೋರ್ಟ್‌ಗಳಲ್ಲಿನ HTTP ಮತ್ತು HTTPS ಬಗ್ಗೆ, ಆಕಸ್ಮಿಕವಾಗಿ ಒಂದೇ ಸಂಖ್ಯೆಯನ್ನು ಹಂಚಿಕೊಳ್ಳುವ ಯಾವುದೇ ಪ್ರೋಟೋಕಾಲ್‌ಗಳ ಬಗ್ಗೆ ಅಲ್ಲ.

ಪೋರ್ಟ್ ಪ್ರೋಟೋಕಾಲ್ ಅಲ್ಲ

OpenVPN ಅನ್ನು TCP 443 ಗೆ ಸರಿಸುವುದು ಅದನ್ನು HTTPS ಆಗಿ ಮಾಡುವುದಿಲ್ಲ. ಪ್ರಾಕ್ಸಿ ಇನ್ನೂ ಸಂಪರ್ಕದ ಆರಂಭದಲ್ಲಿ HTTP ವಿನಂತಿಯನ್ನು ನಿರೀಕ್ಷಿಸುತ್ತದೆ, ಮತ್ತು OpenVPN ಕ್ಲೈಂಟ್ ಬದಲಿಗೆ ಬೈನರಿ ನಿಯಂತ್ರಣ ಸಂದೇಶವನ್ನು ಕಳುಹಿಸುತ್ತದೆ. ಸಂಪರ್ಕವು ನೆಟ್‌ವರ್ಕ್ ತಡೆಗಟ್ಟುವಿಕೆಯಂತೆ ಕಾಣುವ ರೀತಿಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ, ಏಕೆಂದರೆ ಲಾಗ್‌ಗೆ ಯಾವುದೇ ಉಪಯುಕ್ತ ವಿಷಯ ತಲುಪುವುದಿಲ್ಲ.

ಅಗತ್ಯವು ನಿಜವಾಗಿ VPN ದತ್ತಾಂಶ ಮಾರ್ಗದಲ್ಲಿ Cloudflare ಉತ್ಪನ್ನವನ್ನು ಇಡುವುದಾದರೆ, ನಿಮಗೆ ಬೇಕಾದ ಪ್ರೋಟೋಕಾಲ್‌ನ ಬೆಂಬಲವನ್ನು ದಾಖಲಿಸುವ ಒಂದನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡಿ. ಕಿತ್ತಳೆ ಮೋಡವು ಸಾಮಾನ್ಯ TCP ಅಥವಾ UDP ಸುರಂಗ ಎಂದು ಭಾವಿಸಬೇಡಿ, ಏಕೆಂದರೆ ಅದು ನಿರ್ದಿಷ್ಟ ಕೆಲಸವಿರುವ ವೆಬ್ ಸಂಚಾರಕ್ಕೆ ಹಿಮ್ಮುಖ ಪ್ರಾಕ್ಸಿ.

ಕೇವಲ-DNS ದಾಖಲೆ ಕೆಲಸ ಮಾಡುವ ನೀರಸ ಉತ್ತರ, ಮತ್ತು ಮೊದಲು ಅದೇ ಕಡೆಗೆ ಕೈ ಚಾಚಬೇಕು.

ಒಂದು ಯಂತ್ರಕ್ಕೆ ಇನ್ನೂ ಎರಡು ಆಲಿಸುವವರು ಬೇಕು

ಬೇರೆ ಹೆಸರುಗಳು ಎರಡು ಪ್ರಕ್ರಿಯೆಗಳಿಗೆ ಒಂದೇ ಸಮಯದಲ್ಲಿ ಒಂದೇ ವಿಳಾಸ, ಪೋರ್ಟ್ ಮತ್ತು ಸಾಗಣೆಯನ್ನು ಬಂಧಿಸಲು ಅವಕಾಶ ನೀಡುವುದಿಲ್ಲ. ವೆಬ್ ಸರ್ವರ್ ಈಗಾಗಲೇ ಎಲ್ಲಾ ವಿಳಾಸಗಳಲ್ಲಿ TCP 443 ಹೊಂದಿದ್ದರೆ, OpenVPN ಉದಾಹರಣೆ ಉದ್ದೇಶಪೂರ್ವಕ ಏರ್ಪಾಡಿಲ್ಲದೆ ಅದನ್ನೂ ತೆಗೆದುಕೊಳ್ಳಲಾರದು.

VPN ಆಲಿಸುವವರನ್ನು ಬೇರೆ ಪೋರ್ಟ್‌ಗೆ, ಅಥವಾ ಬೇರೆ ವಿಳಾಸಕ್ಕೆ ಬಂಧಿಸಿ, ಅಥವಾ ಮುಂದೆ ದಾಖಲಿಸಿದ ಮಲ್ಟಿಪ್ಲೆಕ್ಸರ್ ಇಟ್ಟು ಅದರೊಂದಿಗೆ ಬರುವ ಕಾರ್ಯಾಚರಣಾ ವೆಚ್ಚವನ್ನು ಒಪ್ಪಿಕೊಳ್ಳಿ. ಈ ಪ್ರತಿಯೊಂದು ಆಯ್ಕೆಯೂ ಫೈರ್‌ವಾಲ್ ನಿಯಮಗಳಲ್ಲಿ ಕಾಣಬೇಕು, ಏಕೆಂದರೆ ಯಾರೂ ದಾಖಲಿಸದ ಆಲಿಸುವವರೇ ಘಟನೆಯ ಸಮಯದಲ್ಲಿ ಕಳೆದುಹೋಗುವವರು. ಆಯ್ಕೆ ಮಾಡಿದ ಬಂಧನವನ್ನು ಸುರಂಗವನ್ನು ವಿವರಿಸುವ ಅದೇ ರನ್‌ಬುಕ್‌ನಲ್ಲಿ ಬರೆಯಿರಿ. ಆಗ ಮುಂದಿನ ವ್ಯಕ್ತಿ ರಾತ್ರಿ ಎರಡು ಗಂಟೆಗೆ ಅದನ್ನು ಮತ್ತೆ ಕಂಡುಕೊಳ್ಳುವುದಿಲ್ಲ.

ಪ್ರಮಾಣಪತ್ರಗಳು ಅವು ರಕ್ಷಿಸುವ ಸಂಪರ್ಕವನ್ನು ಅನುಸರಿಸುತ್ತವೆ

ಬ್ರೌಸರ್‌ನ Cloudflare ಗೆ TLS ಸಂಪರ್ಕ ಮತ್ತು Cloudflare ನ ನಿಮ್ಮ ಮೂಲಕ್ಕೆ ಸಂಪರ್ಕ ಎರಡು ಬೇರೆ ಪ್ರಮಾಣಪತ್ರಗಳಿರುವ ಎರಡು ಬೇರೆ ಸಂಬಂಧಗಳು. ಬ್ರೌಸರ್ ಅಂಚಿನ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನೋಡುತ್ತದೆ. ಮೂಲವು ತನ್ನ ಪ್ರಮಾಣಪತ್ರವನ್ನು Cloudflare ಗೆ ಪ್ರಸ್ತುತಪಡಿಸುತ್ತದೆ, ಮತ್ತು Cloudflare Origin CA ಪ್ರಮಾಣಪತ್ರ ನಿಖರವಾಗಿ ಆ ಎರಡನೇ ಸಂಬಂಧಕ್ಕಾಗಿ ಉದ್ದೇಶಿಸಲಾಗಿದೆ.

ಆ ಮೂಲ ಪ್ರಮಾಣಪತ್ರವನ್ನು Cloudflare Full (strict) ಕ್ರಮದಲ್ಲಿ ನಂಬುತ್ತದೆ ಮತ್ತು ಅದು ಸಾಮಾನ್ಯವಾಗಿ ನಂಬಲರ್ಹ ಬ್ರೌಸರ್ ಪ್ರಮಾಣಪತ್ರವಲ್ಲ. ಯಾರಾದರೂ ಕೇವಲ-DNS ಹೋಸ್ಟ್‌ನಾಮ್‌ಗೆ ನೇರವಾಗಿ ಭೇಟಿ ನೀಡಿ ಎಚ್ಚರಿಕೆ ಪಡೆದರೆ, ಅದು ಬದಲಾದ ನಂಬಿಕೆ ಮಾರ್ಗದ ನಿರೀಕ್ಷಿತ ಪರಿಣಾಮ, ಎನ್‌ಕ್ರಿಪ್ಶನ್ ನಿಂತಿತು ಎಂಬ ಸಾಕ್ಷ್ಯವಲ್ಲ.

ಆದ್ದರಿಂದ ನೇರವಾಗಿ ಭೇಟಿ ನೀಡುವ ವೆಬ್‌ಸೈಟ್‌ಗೆ ಅದರ ಬ್ರೌಸರ್‌ಗಳು ನಂಬುವ ಪ್ರಮಾಣಪತ್ರ ಸರಪಳಿ ಬೇಕು. ಅದು ಮೂಲವನ್ನು ಭೇಟಿ ನೀಡಲು ಉದ್ದೇಶಿಸದ ಪ್ರಾಕ್ಸಿ ಮಾಡಿದ ಸೈಟ್‌ನೊಂದಿಗೆ ಸಹಬಾಳ್ವೆ ಮಾಡಬಹುದು.

OpenVPN ತನ್ನ ಸರ್ವರ್ ಗುರುತು ಮತ್ತು ಕ್ಲೈಂಟ್ ದೃಢೀಕರಣವನ್ನು ತನ್ನದೇ ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರ ಮತ್ತು ತನ್ನದೇ ನಿಯಂತ್ರಣ-ಚಾನೆಲ್ ರಕ್ಷಣೆಯೊಂದಿಗೆ ಹೊತ್ತುಕೊಳ್ಳುತ್ತದೆ. ವೆಬ್‌ಸೈಟ್‌ನಲ್ಲಿನ ಬೀಗ ಅವುಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಒದಗಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಎರಡೂ ಒದಗಿಸುವ ಪ್ರಕ್ರಿಯೆಗಳು ಬೇರೆಯಾಗಿ ಉಳಿಯಬೇಕು.

ಒಡ್ಡುವಿಕೆ ಹೆಸರನ್ನು ಅನುಸರಿಸುತ್ತದೆ

ಕೇವಲ-DNS VPN ದಾಖಲೆ ಅದು ತೋರಿಸುವ ವಿಳಾಸವನ್ನು ಪ್ರಕಟಿಸುತ್ತದೆ. ಆ ವಿಳಾಸವೇ ವೆಬ್ ಮೂಲವೂ ಆಗಿದ್ದರೆ, ಮೂಲ ಮರೆಯಲ್ಲಿಲ್ಲ, ಮತ್ತು ಇನ್ನೊಂದು ಹೆಸರು ಪ್ರಾಕ್ಸಿ ಆಗಿರುವುದರಿಂದ ಅದನ್ನು ಮರೆಯಾಗಿದೆ ಎಂದು ವಿವರಿಸುವುದು ಯಾರಾದರೂ ಸ್ಕ್ಯಾನ್ ಮಾಡುವವರೆಗೆ ಉಳಿಯುವ ತಪ್ಪು.

ಯಾವ ವೆಬ್ ವಿನಂತಿಗಳು ಮೂಲವನ್ನು ನೇರವಾಗಿ ತಲುಪಬಹುದು ಎಂದು ನಿರ್ಧರಿಸಿ ಅದನ್ನು ಮೂಲದಲ್ಲಿ ಜಾರಿಗೊಳಿಸಿ, ನಂತರ VPN ಆಲಿಸುವವರಿಗೆ ಅದರ ಸ್ವಂತ ಷರತ್ತುಗಳ ಮೇಲೆ ಅನುಮತಿ ನೀಡಿ. ನಿರ್ವಹಣಾ ಪುಟಗಳು, ಪ್ರೊಫೈಲ್ ಡೌನ್‌ಲೋಡ್‌ಗಳು ಮತ್ತು ದತ್ತಾಂಶ ಆಲಿಸುವವರು ಒಂದೇ ಪ್ಯಾಕೇಜ್ ಮೂರನ್ನೂ ಒದಗಿಸಿದರೂ ಮೂರು ಬೇರೆ ಒಡ್ಡುವಿಕೆ ಅಗತ್ಯಗಳನ್ನು ಹೊಂದಬಹುದು.

ರಚಿಸಿದ ಕೊಂಡಿಗಳನ್ನು ಸಾರ್ವಜನಿಕ ವೆಬ್ ಹೆಸರು ಮತ್ತು HTTPS ಸ್ಕೀಮ್‌ನಲ್ಲಿ ಇರಿಸಿ, ಮತ್ತು ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್‌ಗಳನ್ನು VPN ಹೆಸರಿನಲ್ಲಿ ನಿಜವಾದ ಪ್ರೋಟೋಕಾಲ್ ಮತ್ತು ಪೋರ್ಟ್‌ನೊಂದಿಗೆ ಇರಿಸಿ. ಸಾಮಾನ್ಯ ಕಾರ್ಯಾಚರಣೆಯಲ್ಲಿ ಯಾವ ಸೇವೆಯೂ ಇನ್ನೊಂದರ ಪ್ರಾಕ್ಸಿ ಸೆಟ್ಟಿಂಗ್ ತಿರುಗಿಸುವುದನ್ನು ಅವಲಂಬಿಸಬಾರದು.

ಕೆಲಸದ ಕ್ರಮ: ಸೈಟ್‌ಗೆ ಪ್ರಾಕ್ಸಿ ಮಾಡಿದ ಹೆಸರು, VPN ಗೆ ಕೇವಲ-DNS ಹೆಸರು, ಬೇರೆ ಆಲಿಸುವವರು, ಪ್ರತಿ ಸಂಬಂಧಕ್ಕೂ ಪ್ರಮಾಣಪತ್ರ, ನಂತರ ಪ್ರತಿ ಹೆಸರೂ ತಾನು ತಲುಪಬೇಕಾದ ಸೇವೆಯನ್ನಷ್ಟೇ ತಲುಪುತ್ತದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುವ ಒಂದು ಪರೀಕ್ಷೆ.