Firwat de Proxy vun Cloudflare OpenVPN net op engem Numm ka droen

Eng Maschinn bedreift d'Websäit an den OpenVPN-Server, an d'Versuchung ass, ee Hostnumm drop ze riichten an déi orange Wollek den Trafik klären ze loossen. De Proxy kläert HTTP an HTTPS. Hie kläert keng OpenVPN-Sessioun, egal wéi ee Port déi Sessioun benotzt. Zwee Nimm, een direkt an een iwwer de Proxy, kaschten näischt a beseitigen déi ganz Klass vu Verwierrung.

Zwee Nimm, zwee Transport

Gitt der Websäit eng proxyte Aufzeichnung, sou datt hire HTTP- an HTTPS-Trafik duerch Cloudflare geet. Gitt dem VPN eng DNS-nëmmen Aufzeichnung, déi sech direkt op den ëffentlechen VPN-Agank opléist, a loosst de Client dee UDP- oder TCP-Port benotzen, fir deen en konfiguréiert ass.

Béid Nimm kënnen op därselwechter Ursprungsmaschinn landen. Den Ënnerscheed ass, wat tëscht dem Client an där Maschinn geschitt, an deen Ënnerscheed ass de Sënn vun der Trennung.

Dem Cloudflare seng Netzwierkport-Referenz lëscht op, wéi eng Porten de gewéinleche Webproxy akzeptéiert. Déi Lëscht geet ëm HTTP an HTTPS op deene Porten, net ëm arbiträre Protokoller, déi zoufälleg eng Nummer deelen.

De Port ass net de Protokoll

OpenVPN op TCP 443 ze réckelen mécht doraus keen HTTPS. De Proxy erwaart nach ëmmer eng HTTP-Ufro am Ufank vun der Verbindung, an en OpenVPN-Client schéckt amplaz eng binär Steiermessage. D'Verbindung feelt op eng Manéier, déi wéi eng Netzwierkssper ausgesäit, well näischt Nëtzlescht an e Log geréit.

Wann d'Fuerderung wierklech ass, e Cloudflare-Produkt an den VPN-Datenwee ze setzen, evaluéiert een, dat d'Ënnerstëtzung vum Protokoll dokumentéiert, deen dir braucht. Halt net un, datt déi orange Wollek en allgemenge TCP- oder UDP-Tunnel ass, well et en Ëmgekéierte Proxy fir Webtrafik mat enger bestëmmter Aufgab ass.

Eng DNS-nëmmen Aufzeichnung ass déi langweileg Äntwert, déi funktionéiert, an et ass déi, no där een als éischt gräife soll.

Eng Maschinn brauch nach ëmmer zwee Lauschterer

Getrennte Nimm erlaben net zwee Prozesser, déi selwecht Adress, dee selwechte Port an deen selwechten Transport gläichzäiteg ze bannen. Wann de Webserver schonn TCP 443 op allen Adressen hält, kann eng OpenVPN-Instanz en net och huelen ouni eng bewosst Regelung.

Bindt de VPN-Lauschterer un en anere Port, oder un eng aner Adress, oder setzt en dokumentéierte Multiplexer virun an akzeptéiert d'Betribskäschten, déi domat kommen. Jiddwereen vun dëse Wieler soll an de Firewall-Regele sichtbar sinn, well en Lauschterer, deen keen dokumentéiert huet, deen ass, deen während engem Virfall iwwersinn gëtt. Schreift déi gewielte Bindung an deeselwechte Runbook, deen den Tunnel beschreift. Dann entdeckt déi nächst Persoun en net nach eng Kéier um zwee Auer moies.

Zertifikater follegen der Verbindung, déi se schützen

D'TLS-Verbindung vum Browser op Cloudflare an dem Cloudflare seng Verbindung op Ären Ursprung sinn zwou getrennte Bezéiungen mat zwou getrennten Zertifikaten. De Browser gesäit en Edge-Zertifikat. Den Ursprung presentéiert dem Cloudflare säin eegent Zertifikat, an e Cloudflare Origin CA-Zertifikat ass genau fir déi zweet Bezéiung geduecht.

Dee Ursprungszertifikat gëtt vum Cloudflare am Modus Full (strict) vertraut an et ass keen allgemeng vertrautes Browserzertifikat. Wann een den DNS-nëmmen Hostnumm direkt besicht an eng Warnung kritt, ass dat déi erwaart Konsequenz vun engem geännerten Vertrauenswee, net de Beweis, datt d'Verschlüsselung opgehalen huet.

Eng Websäit, déi direkt besicht gëtt, brauch dofir eng Zertifikatskette, där hir Browser vertrauen. Dat kann niewent enger proxyter Säit existéieren, där hiren Ursprung iwwerhaapt net fir Besich geduecht ass.

OpenVPN dréit seng eege Serveridentitéit a Client-Authentifikatioun, mat hirer eegener Zertifizéierungsautoritéit an hirem eegene Schutz vum Steierkanal. E Schlass op der Websäit bitt dovun näischt, an déi zwou Bereetstellungsprozesser solle getrennt bleiwen.

D'Expositioun follegt dem Numm

Eng DNS-nëmmen VPN-Aufzeichnung publizéiert d'Adress, op déi se weist. Wann déi Adress och den Webursprung ass, ass den Ursprung net verstoppt, an en als verstoppt ze beschreiwen, well den aneren Numm proxyte ass, ass e Feeler, deen hält, bis een drop scannt.

Entscheet, wéi eng Webufroe kënnen den Ursprung direkt erreechen, an ëmsetzt dat um Ursprung, dann erlaabt de VPN-Lauschterer zu senge eegene Konditiounen. Verwaltungssäiten, Profil-Downloads an den Datenlauschterer kënnen dräi verschidden Expositiounsufuerderungen hunn, och wann ee Package all dräi bitt.

Halt generéiert Linken um ëffentlechen Webnumm an um HTTPS-Schema, an halt Clientprofilen um VPN-Numm mam richtegen Protokoll an Port. Wuel keen vun den zwee Servicer soll am normale Betrib dovun ofhänken, dem aneren seng Proxy-Astellungs ëmzeschalten.

Aarbechtsuerdnung: proxyten Numm fir d'Säit, DNS-nëmmen Numm fir de VPN, getrennte Lauschterer, Zertifikat pro Bezéiung, dann een Test, deen beweist, datt all Numm nëmmen dee Service erreecht, deen en soll.