Cloudflare प्रॉक्सी एका नावावर OpenVPN का वाहू शकत नाही

एकच मशीन वेबसाइट आणि OpenVPN सर्व्हर चालवते, आणि एक होस्टनाव त्याकडे निर्देशित करून नारिंगी ढगाला रहदारी सोडवू देण्याचा मोह होतो। प्रॉक्सी HTTP आणि HTTPS सोडवते। तो OpenVPN सत्र सोडवत नाही, ते सत्र कोणतेही पोर्ट वापरो। दोन नावे, एक थेट आणि एक प्रॉक्सीमार्फत, काहीही खर्च करत नाहीत आणि गोंधळाचा संपूर्ण वर्ग दूर करतात।

दोन नावे, दोन वाहतुका

वेबसाइटला प्रॉक्सी केलेले रेकॉर्ड द्या जेणेकरून तिची HTTP आणि HTTPS रहदारी Cloudflare मधून जाईल। VPN ला फक्त-DNS रेकॉर्ड द्या जे थेट सार्वजनिक VPN प्रवेशावर सोडवते, आणि क्लायंटला तो UDP किंवा TCP पोर्ट वापरू द्या ज्यासाठी तो संरचित आहे।

दोन्ही नावे एकाच मूळ मशीनवर येऊ शकतात। फरक म्हणजे क्लायंट आणि त्या मशीनमध्ये काय घडते, आणि तोच फरक विभाजनाचा उद्देश आहे।

Cloudflare चा नेटवर्क-पोर्ट संदर्भ सामान्य वेब प्रॉक्सी कोणते पोर्ट स्वीकारतो ते सूचीबद्ध करतो। ती यादी त्या पोर्टवरील HTTP आणि HTTPS बद्दल आहे, संख्या सामायिक करणाऱ्या कोणत्याही प्रोटोकॉलबद्दल नाही।

पोर्ट म्हणजे प्रोटोकॉल नाही

OpenVPN ला TCP 443 वर हलवल्याने तो HTTPS होत नाही। प्रॉक्सी अजूनही कनेक्शनच्या सुरुवातीला HTTP विनंतीची अपेक्षा करतो, आणि OpenVPN क्लायंट त्याऐवजी बायनरी नियंत्रण संदेश पाठवतो। कनेक्शन नेटवर्क अडथळ्यासारखे दिसणाऱ्या पद्धतीने अयशस्वी होते, कारण लॉगपर्यंत काहीही उपयुक्त पोहोचत नाही।

जर गरज खरोखर VPN डेटा मार्गात Cloudflare उत्पादन ठेवण्याची असेल, तर तुम्हाला आवश्यक असलेल्या प्रोटोकॉलचे समर्थन दस्तऐवजीकरण करणाऱ्या उत्पादनाचे मूल्यांकन करा। नारिंगी ढग सामान्य TCP किंवा UDP बोगदा आहे असे गृहीत धरू नका, कारण तो विशिष्ट काम असलेल्या वेब रहदारीसाठी उलटा प्रॉक्सी आहे।

फक्त-DNS रेकॉर्ड हे चालणारे कंटाळवाणे उत्तर आहे, आणि प्रथम त्याकडेच हात पसरवला पाहिजे।

एका मशीनला अजूनही दोन श्रोते आवश्यक

वेगळी नावे दोन प्रक्रियांना एकाच वेळी एकच पत्ता, पोर्ट आणि वाहतूक बांधू देत नाहीत। जर वेब सर्व्हर आधीच सर्व पत्त्यांवर TCP 443 धरत असेल, तर OpenVPN उदाहरण हेतुपुरस्सर व्यवस्थेशिवाय तो देखील घेऊ शकत नाही।

VPN श्रोत्याला दुसऱ्या पोर्टवर, किंवा दुसऱ्या पत्त्यावर बांधा, किंवा समोर दस्तऐवजीकृत मल्टिप्लेक्सर ठेवा आणि त्याबरोबर येणारा कार्यचालन खर्च स्वीकारा। यापैकी प्रत्येक निवड फायरवॉल नियमांमध्ये दिसली पाहिजे, कारण ज्या श्रोत्याचे कोणीही दस्तऐवजीकरण केले नाही तोच घटनेच्या वेळी चुकला जातो। निवडलेले बंधन बोगद्याचे वर्णन करणाऱ्या त्याच रनबुकमध्ये लिहा। मग पुढच्या व्यक्तीला ते रात्री दोन वाजता पुन्हा शोधावे लागणार नाही।

प्रमाणपत्रे ज्या जोडणीचे संरक्षण करतात तिचे अनुसरण करतात

ब्राउझरचे Cloudflare कडे जाणारे TLS कनेक्शन आणि Cloudflare चे तुमच्या मूळाकडे जाणारे कनेक्शन हे दोन वेगळ्या प्रमाणपत्रांसह दोन वेगळे संबंध आहेत। ब्राउझरला कडेचे प्रमाणपत्र दिसते। मूळ Cloudflare ला स्वतःचे प्रमाणपत्र सादर करते, आणि Cloudflare Origin CA प्रमाणपत्र नेमके त्या दुसऱ्या संबंधासाठी आहे।

त्या मूळ प्रमाणपत्रावर Cloudflare Full (strict) मोडमध्ये विश्वास ठेवते आणि ते सर्वसाधारणपणे विश्वसनीय ब्राउझर प्रमाणपत्र नाही। जर कोणी फक्त-DNS होस्टनावाला थेट भेट दिली आणि इशारा मिळाला, तर तो बदललेल्या विश्वास मार्गाचा अपेक्षित परिणाम आहे, एन्क्रिप्शन थांबल्याचा पुरावा नाही।

म्हणून थेट भेट दिल्या जाणाऱ्या वेबसाइटला तिचे ब्राउझर विश्वास ठेवतात अशी प्रमाणपत्र साखळी आवश्यक आहे। ते अशा प्रॉक्सी केलेल्या साइटसोबत एकत्र राहू शकते जिच्या मूळाला भेट देण्याचा अजिबात विचार नाही।

OpenVPN स्वतःची सर्व्हर ओळख आणि क्लायंट प्रमाणीकरण स्वतःच्या प्रमाणपत्र प्राधिकरणासह आणि स्वतःच्या नियंत्रण-चॅनेल संरक्षणासह वाहते। वेबसाइटवरील कुलूप यातले काहीही देत नाही, आणि दोन्ही पुरवठा प्रक्रिया वेगळ्या राहिल्या पाहिजेत।

उघडीकरण नावाचे अनुसरण करते

फक्त-DNS VPN रेकॉर्ड तो ज्या पत्त्याकडे निर्देश करतो तो प्रकाशित करते। जर तो पत्ता वेब मूळ देखील असेल, तर मूळ लपलेले नाही, आणि दुसरे नाव प्रॉक्सी असल्याने त्याला लपलेले म्हणणे ही अशी चूक आहे जी कोणी स्कॅन करेपर्यंत टिकते।

कोणत्या वेब विनंत्या मूळापर्यंत थेट पोहोचू शकतात हे ठरवा आणि ते मूळावर लागू करा, मग VPN श्रोत्याला त्याच्या स्वतःच्या अटींवर परवानगी द्या। व्यवस्थापन पृष्ठे, प्रोफाइल डाउनलोड आणि डेटा श्रोता यांना एकच पॅकेज तिन्ही पुरवत असले तरी तीन वेगळ्या उघडीकरणाच्या गरजा असू शकतात।

तयार केलेल्या दुवे सार्वजनिक वेब नावावर आणि HTTPS योजनेवर ठेवा, आणि क्लायंट प्रोफाइल VPN नावावर खऱ्या प्रोटोकॉल आणि पोर्टसह ठेवा। सामान्य कार्यचालनात कोणत्याही सेवेने दुसऱ्याची प्रॉक्सी सेटिंग बदलण्यावर अवलंबून राहू नये।

कामाचा क्रम: साइटसाठी प्रॉक्सी केलेले नाव, VPN साठी फक्त-DNS नाव, वेगळे श्रोते, प्रत्येक संबंधासाठी प्रमाणपत्र, आणि मग एक चाचणी जी सिद्ध करते की प्रत्येक नाव फक्त त्या सेवेपर्यंत पोहोचते जिथे पोहोचले पाहिजे।