Kāpēc Cloudflare starpniekserveris nevar pārnēsāt OpenVPN vienā vārdā

Viena mašīna darbina vietni un OpenVPN serveri, un kārdinājums ir vērst uz to vienu resursdatora vārdu un ļaut oranžajam mākonim sakārtot datplūsmu. Starpniekserveris sakārto HTTP un HTTPS. Tas nesakārto OpenVPN sesiju, neatkarīgi no tā, kuru portu šī sesija izmanto. Divi vārdi, viens tiešs un viens caur starpniekserveri, neko nemaksā un novērš visu šo neskaidrības klasi.

Divi vārdi, divi transporti

Dodiet vietnei starpniekservera ierakstu, lai tās HTTP un HTTPS datplūsma ietu caur Cloudflare. Dodiet VPN ierakstu tikai ar DNS, kas atrisinās tieši uz publisko VPN ieeju, un ļaujiet klientam izmantot to UDP vai TCP portu, kuram tas ir konfigurēts.

Abi vārdi var nonākt tajā pašā izcelsmes mašīnā. Atšķirība ir tajā, kas notiek starp klientu un šo mašīnu, un šī atšķirība ir sadalīšanas jēga.

Cloudflare tīkla portu uzziņa uzskaita, kurus portus pieņem parastais tīmekļa starpniekserveris. Šis saraksts attiecas uz HTTP un HTTPS šajos portos, nevis uz patvaļīgiem protokoliem, kas nejauši dala vienu numuru.

Ports nav protokols

OpenVPN pārvietošana uz TCP 443 nepārvērš to par HTTPS. Starpniekserveris joprojām gaida HTTP pieprasījumu savienojuma sākumā, un OpenVPN klients tā vietā sūta bināru vadības ziņojumu. Savienojums neizdodas tā, ka izskatās kā tīkla bloķēšana, jo žurnālā nekas noderīgs nenonāk.

Ja prasība tiešām ir ievietot Cloudflare produktu VPN datu ceļā, novērtējiet tādu, kas dokumentē vajadzīgā protokola atbalstu. Nepieņemiet, ka oranžais mākonis ir vispārīgs TCP vai UDP tunelis, jo tas ir reversais starpniekserveris tīmekļa datplūsmai ar konkrētu uzdevumu.

Ieraksts tikai ar DNS ir garlaicīgā atbilde, kas strādā, un tieši pie tā vispirms jāķeras.

Vienai mašīnai joprojām vajag divus klausītājus

Atdalīti vārdi neļauj diviem procesiem vienlaikus piesaistīt vienu un to pašu adresi, portu un transportu. Ja tīmekļa serveris jau aizņem TCP 443 visās adresēs, OpenVPN instance to nevar arī paņemt bez apzinātas vienošanās.

Piesaistiet VPN klausītāju citam portam vai citai adresei, vai lieciet priekšā dokumentētu multipleksoru un pieņemiet ar to saistītās ekspluatācijas izmaksas. Katrai no šīm izvēlēm jābūt redzamai ugunsmūra noteikumos, jo klausītājs, ko neviens nav dokumentējis, ir tas, kas tiek palaists garām incidenta laikā. Ierakstiet izvēlēto piesaisti tajā pašā rokasgrāmatā, kas apraksta tuneli. Tad nākamais cilvēks to neatklās no jauna divos naktī.

Sertifikāti seko savienojumam, ko tie aizsargā

Pārlūka TLS savienojums ar Cloudflare un Cloudflare savienojums ar jūsu izcelsmi ir divas atsevišķas attiecības ar diviem atsevišķiem sertifikātiem. Pārlūks redz malas sertifikātu. Izcelsme uzrāda Cloudflare savu sertifikātu, un Cloudflare Origin CA sertifikāts ir paredzēts tieši otrajām attiecībām.

Cloudflare uzticas šim izcelsmes sertifikātam Full (strict) režīmā, un tas nav vispārēji uzticams pārlūka sertifikāts. Ja kāds apmeklē tikai DNS resursdatora vārdu tieši un saņem brīdinājumu, tās ir gaidāmās mainītā uzticības ceļa sekas, nevis pierādījums, ka šifrēšana apstājās.

Tāpēc tieši apmeklētai vietnei vajag sertifikātu ķēdi, kurai uzticas tās pārlūki. Tas var pastāvēt līdzās starpniekotai vietnei, kuras izcelsmi nemaz nav paredzēts apmeklēt.

OpenVPN nes savu servera identitāti un klienta autentifikāciju, ar savu sertifikātu iestādi un savu vadības kanāla aizsardzību. Slēdzene vietnē neko no tā nenodrošina, un abiem sagatavošanas procesiem jāpaliek atsevišķiem.

Atklātība seko vārdam

VPN ieraksts tikai ar DNS publicē adresi, uz kuru tas norāda. Ja šī adrese ir arī tīmekļa izcelsme, izcelsme nav paslēpta, un raksturot to kā paslēptu tāpēc, ka otrs vārds ir starpniekots, ir kļūda, kas saglabājas, līdz kāds to noskenē.

Izlemiet, kuri tīmekļa pieprasījumi drīkst sasniegt izcelsmi tieši, un īstenojiet to izcelsmē, pēc tam atļaujiet VPN klausītāju ar tā paša noteikumiem. Pārvaldības lapas, profilu lejupielādes un datu klausītājs var būt ar trim dažādām atklātības prasībām, pat ja viena pakotne nodrošina visas trīs.

Turiet ģenerētās saites uz publiskā tīmekļa vārda un HTTPS shēmas, un turiet klientu profilus uz VPN vārda ar īsto protokolu un portu. Nevienai no abām pakalpojumiem normālā darbībā nevajadzētu būt atkarīgam no otras starpniekservera iestatījuma pārslēgšanas.

Darbu secība: starpniekots vārds vietnei, tikai DNS vārds VPN, atsevišķi klausītāji, sertifikāts katrai attiecībai, un tad viens tests, kas pierāda, ka katrs vārds sasniedz tikai to pakalpojumu, kuru tam vajadzētu.