Зошто проксито на Cloudflare не може да го носи OpenVPN на едно име

Една машина ги извршува веб-страницата и серверот OpenVPN, а искушението е да се упати едно име на домаќин кон неа и да се остави портокаловиот облак да го среди сообраќајот. Проксито го средува HTTP и HTTPS. Тоа не ја средува сесијата OpenVPN, без оглед на кој порт ја користи таа сесија. Две имиња, едно директно и едно преку прокси, не чинат ништо и ја отстрануваат целата класа на забуна.

Две имиња, два преноса

Дајте ѝ на веб-страницата запис преку прокси за нејзиниот HTTP и HTTPS сообраќај да поминува низ Cloudflare. Дајте му на VPN запис само со DNS што се разрешува право на јавниот VPN влез, и дозволете му на клиентот да го користи портот UDP или TCP за кој е конфигуриран.

Двете имиња можат да завршат на истата изворна машина. Разликата е што се случува меѓу клиентот и таа машина, и таа разлика е смислата на поделбата.

Прегледот на мрежни порти на Cloudflare наведува кои порти ги прифаќа обичното веб-прокси. Тој список се однесува на HTTP и HTTPS на тие порти, а не на произволни протоколи што случајно делат еден број.

Портата не е протоколот

Преместувањето на OpenVPN на TCP 443 не го прави HTTPS. Проксито сѐ уште очекува HTTP барање на почетокот на врската, а клиентот OpenVPN наместо тоа испраќа бинарна контролна порака. Врската паѓа на начин што личи на мрежно блокирање, зашто ништо корисно не стигнува до дневник.

Ако барањето навистина е да се стави производ на Cloudflare во податочната патека на VPN, оценете оној што документира поддршка за протоколот што ви треба. Не претпоставувајте дека портокаловиот облак е општ TCP или UDP тунел, зашто тој е обратно прокси за веб-сообраќај со конкретна задача.

Записот само со DNS е досадниот одговор што работи, и тој треба прв да се земе предвид.

Една машина сѐ уште бара два слушатели

Одделените имиња не дозволуваат два процеса истовремено да ја заземат истата адреса, порта и пренос. Ако веб-серверот веќе ја држи TCP 443 на сите адреси, примерок на OpenVPN не може да ја земе исто така без намерен договор.

Врзете го слушателот на VPN за друга порта, или за друга адреса, или ставете документиран мултиплексор напред и прифатете ги оперативните трошоци што доаѓаат со тоа. Секој од тие избори треба да биде видлив во правилата на огнениот ѕид, зашто слушателот што никој не го документирал е оној што се пропушта за време на инцидент. Запишете го избраното врзување во истиот прирачник што го опишува тунелот. Тогаш следниот човек нема да го открива повторно во два часот наутро.

Сертификатите го следат односот што го штитат

TLS врската на прелистувачот кон Cloudflare и врската на Cloudflare кон вашиот извор се два одделни односи со два одделни сертификати. Прелистувачот гледа сертификат на работ. Изворот му го претставува својот сертификат на Cloudflare, а сертификатот Cloudflare Origin CA е наменет токму за вториот однос.

Тој сертификат на изворот Cloudflare го доверува во режим Full (strict) и тој не е општо доверлив сертификат за прелистувач. Ако некој директно го посети името на домаќин само со DNS и добие предупредување, тоа е очекуваната последица на променета патека на доверба, а не доказ дека шифрирањето запрело.

Затоа веб-страницата што се посетува директно бара синџир на сертификати во кој веруваат нејзините прелистувачи. Тоа може да постои заедно со страница преку прокси чиј извор воопшто не е предвиден за посета.

OpenVPN го носи сопствениот идентитет на серверот и автентикацијата на клиентот, со сопствено сертификациско тело и сопствена заштита на контролениот канал. Катанецот на веб-страницата не обезбедува ништо од тоа, и двата процеса на обезбедување треба да останат одделни.

Изложеноста го следи името

Записот VPN само со DNS ја објавува адресата кон која покажува. Ако таа адреса е и веб-изворот, изворот не е скриен, и опишувањето како скриен затоа што другото име е преку прокси е грешка што останува додека некој не го скенира.

Одлучете кои веб-барања можат директно да го достигнат изворот и спроведете го тоа на изворот, потоа дозволете му на слушателот на VPN под негови услови. Страниците за управување, преземањата на профили и слушателот на податоци можат да имаат три различни барања за изложеност дури и кога еден пакет ги обезбедува сите три.

Држете ги генерираните врски на јавното веб-име и HTTPS шемата, а клиентските профили на името на VPN со вистинскиот протокол и порта. Ниту една од двете услуги не треба да зависи од превртување на прокси-поставката на другата за време на нормална работа.

Ред на работа: име преку прокси за страницата, име само со DNS за VPN, одделни слушатели, сертификат за секој однос, потоа еден тест што докажува дека секое име достигнува само услугата што треба.