Эмне үчүн Cloudflare проксиси OpenVPNди бир ат менен алып жүрө албайт

Бир машина сайтты да, OpenVPN серверин да иштетет, ал эми азгырык — бир хост атын ошого багыттап, кызгылт сары булут трафикти иреттесин деп коюу. Прокси HTTP жана HTTPSти иреттейт. Ал OpenVPN сессиясын иреттебейт, бул сессия кайсы портту колдонсо да. Эки ат, бири түз, экинчиси прокси аркылуу, эч нерсе турбайт жана чаташуунун бүткүл классын жок кылат.

Эки ат, эки ташуу

Сайтка прокси аркылуу жазуу бериңиз, анын HTTP жана HTTPS трафиги Cloudflare аркылуу өтсүн. VPNге гана DNS жазуусун бериңиз, ал түз эле коомдук VPN кире беришине чечилет, ал эми клиент өзүнө конфигурацияланган UDP же TCP портун колдонсун.

Эки ат тең бир баштапкы машинага келиши мүмкүн. Айырма клиент менен ошол машинанын ортосунда эмне болуп жатканында, жана бул айырма бөлүүнүн маңызы.

Cloudflareдин тармак порттору боюнча маалымдамасы кадимки веб-прокси кайсы портторду кабыл аларын тизмелейт. Бул тизме ошол порттордогу HTTP жана HTTPS жөнүндө, кокустан бир номурду бөлүшкөн каалаган протоколдор жөнүндө эмес.

Порт — протокол эмес

OpenVPN колдонмосун TCP 443кө которуу аны HTTPSке айландырбайт. Прокси дагы эле байланыштын башында HTTP сурамын күтөт, ал эми OpenVPN клиенти анын ордуна экилик башкаруу билдирүүсүн жөнөтөт. Байланыш тармактык тоскоолго окшош түрдө ишке ашпайт, анткени журналга пайдалуу эч нерсе жетпейт.

Эгер талап чындап VPNдин берилиш жолуна Cloudflare продуктун коюу болсо, сизге керектүү протоколду колдоосун документтеген продуктуну баалаңыз. Кызгылт сары булутту жалпы TCP же UDP туннели деп ойлобоңуз, анткени ал конкреттүү милдети бар веб-трафик үчүн тескери прокси.

Гана DNS жазуусу — иштеген тажатма жооп, жана ага биринчи кайрылуу керек.

Бир машинага дагы эле эки угуучу керек

Бөлөк аттар эки процесстин бир убакта бир эле даректи, портту жана ташууну ээлешине жол бербейт. Эгер веб-сервер бардык даректерде TCP 443тү ээлеп турса, OpenVPN үлгүсү аны атайын макулдашуусуз да ала албайт.

VPN угуучусун башка портко, же башка дарекке байлаңыз, же алдыга документтелген мультиплексор коюп, аны менен келген операциялык чыгымды кабыл алыңыз. Ошол тандоолордун ар бири брандмауэр эрежелеринде көрүнүшү керек, анткени эч ким документтебеген угуучу окуя учурунда көздөн качып калган угуучу. Тандалган байланышты туннелди сүрөттөгөн ошол эле runbookко жазыңыз. Ошондо кийинки адам аны түнү экиде кайра ачпайт.

Сертификаттар өздөрү коргогон байланышты ээрчийт

Браузердин Cloudflareге TLS байланышы жана Cloudflaredin сиздин баштапкы булагыңызга байланышы — эки бөлөк сертификаты бар эки бөлөк мамиле. Браузер четки сертификатты көрөт. Баштапкы булак Cloudflareге өз сертификатын сунуштайт, ал эми Cloudflare Origin CA сертификаты дал ошол экинчи мамиле үчүн арналган.

Бул баштапкы сертификатка Cloudflare Full (strict) режиминде ишенет жана ал жалпы ишенимдүү браузер сертификаты эмес. Эгер бирөө гана DNS хост атына түз кирип, эскертүү алса, бул ишеним жолунун өзгөрүшүнүн күтүлгөн кесепети, шифрлоо токтогонунун далили эмес.

Ошондуктан түз кирилүүчү сайтка анын браузерлери ишенген сертификаттар чынжыры керек. Бул баштапкы булагы такыр кирүүгө арналбаган проксиленген сайт менен катар жашай алат.

OpenVPN өзүнүн серверлик инсандыгын жана клиенттик аутентификациясын өз сертификат органы жана өз башкаруу каналынын коргоосу менен алып жүрөт. Сайттагы кулпу алардын эч бирин бербейт, жана эки даярдоо процесси бөлөк калышы керек.

Таасир атка ээрчийт

Гана DNS VPN жазуусу өзү көрсөткөн даректи жарыялайт. Эгер бул дарек веб-баштапкы булак да болсо, баштапкы булак жашыруун эмес, жана аны башка ат проксиленгендиктен жашыруун деп сүрөттөө — бирөө аны скандаганга чейин сакталган ката.

Кайсы веб-сурамдар баштапкы булакка түз жете аларын чечип, аны баштапкы булакта аткарыңыз, анан VPN угуучусуна өз шарттары менен уруксат бериңиз. Башкаруу барактары, профиль жүктөөлөрү жана берилиш угуучусу бир пакет үчөөнү тең берсе да, үч түрдүү таасир талабына ээ болушу мүмкүн.

Жаралган шилтемелерди коомдук веб атында жана HTTPS схемасында кармаңыз, ал эми клиент профилдерин VPN атында так протокол жана порт менен кармаңыз. Кадимки иштөө учурунда эки кызматтын эч бири экинчисинин прокси параметрин которууга көз каранды болбошу керек.

Иш тартиби: сайтка проксиленген ат, VPNге гана DNS аты, бөлөк угуучулар, ар бир мамиле үчүн сертификат, анан ар бир ат өзү тийиштүү кызматка гана жетээрин далилдеген бир тест.