Għaliex il-proxy ta' Cloudflare ma jistax iġorr OpenVPN fuq isem wieħed

Magna waħda tmexxi l-websajt u s-server OpenVPN, u t-tentazzjoni hija li tindika isem host wieħed lejha u tħalli s-sħaba oranġjo tirranġa t-traffiku. Il-proxy jirranġa HTTP u HTTPS. Ma jirranġax sessjoni OpenVPN, ikun liema port ikun qed juża dak is-sessjoni. Żewġ ismijiet, wieħed dirett u wieħed permezz tal-proxy, ma jiswew xejn u jneħħu l-klassi kollha ta' konfużjoni.

Żewġ ismijiet, żewġ trasporti

Agħti lill-websajt rekord permezz tal-proxy biex it-traffiku HTTP u HTTPS tagħha jgħaddi minn Cloudflare. Agħti lill-VPN rekord DNS biss li jiġi riżolt direttament għad-daħla pubblika tal-VPN, u ħalli l-klijent juża l-port UDP jew TCP li għalih huwa kkonfigurat.

Iż-żewġ ismijiet jistgħu jispiċċaw fuq l-istess magna oriġini. Id-differenza hija dak li jiġri bejn il-klijent u dik il-magna, u dik id-differenza hija l-punt tal-qasma.

Ir-referenza tal-portijiet tan-netwerk ta' Cloudflare telenka liema portijiet jitqiesu mill-proxy web ordinarju. Dak l-elenku huwa dwar HTTP u HTTPS fuq dawk il-portijiet, mhux dwar protokolli arbitrarji li jinqasmu numru b'kumbinazzjoni.

Il-port mhuwiex il-protokoll

Li ċċaqlaq OpenVPN għal TCP 443 ma jagħmilhiex HTTPS. Il-proxy għadu jistenna talba HTTP fil-bidu tal-konnessjoni, u klijent OpenVPN jibgħat messaġġ ta' kontroll binarju minflok. Il-konnessjoni tfalli b'mod li jidher bħal imblokk tan-netwerk għax xejn utli ma jasal għal log.

Jekk il-ħtieġa hija tassew li tqiegħed prodott ta' Cloudflare fil-passaġġ tad-data tal-VPN, evalwa wieħed li jiddokumenta appoġġ għall-protokoll li għandek bżonn. Tassumix li s-sħaba oranġjo hija tunnel ġenerali TCP jew UDP, għax hija proxy invers għat-traffiku web b'kompitu speċifiku.

Rekord DNS biss huwa t-tweġiba boring li taħdem, u hija dik li għandha tintlaħaq l-ewwel.

Magna waħda xorta għandha bżonn żewġ semmiegħa

Ismijiet separati ma jħallux żewġ proċessi jorbtu l-istess indirizz, port u trasport fl-istess ħin. Jekk is-server web diġà qed iżomm TCP 443 fuq l-indirizzi kollha, istanza OpenVPN ma tistax tieħu wkoll mingħajr arranġament deliberat.

Orbot is-semmiegħa tal-VPN ma' port ieħor, jew ma' indirizz ieħor, jew qiegħed multiplexer iddokumentat quddiem u aċċetta l-ispiża operattiva li tiġi miegħu. Kull waħda minn dawn l-għażliet għandha tkun viżibbli fir-regoli tal-firewall, għax semmiegħa li ħadd ma ddokumenta huwa dak li jinqabeż waqt inċident. Ikteb l-irbit magħżul fl-istess runbook li jiddeskrivi t-tunnel. Imbagħad il-persuna li jmiss ma terġax issibha fis-sagħtejn ta' filgħodu.

Iċ-ċertifikati jsegwu l-konnessjoni li jipproteġu

Il-konnessjoni TLS tal-browser ma' Cloudflare u l-konnessjoni ta' Cloudflare mal-oriġini tiegħek huma żewġ relazzjonijiet separati b'żewġ ċertifikati separati. Il-browser jara ċertifikat tat-tarf. L-oriġini tippreżenta ċ-ċertifikat tagħha lil Cloudflare, u ċertifikat Cloudflare Origin CA huwa maħsub eżattament għal dik it-tieni relazzjoni.

Dak iċ-ċertifikat tal-oriġini huwa fdat minn Cloudflare fil-modalità Full (strict) u mhuwiex ċertifikat tal-browser fdat b'mod ġenerali. Jekk xi ħadd iżur l-isem host DNS biss direttament u jirċievi twissija, dik hija l-konsegwenza mistennija ta' passaġġ ta' fiduċja mibdul, mhux prova li l-encryption waqfet.

Għalhekk websajt li tiġi żurata direttament għandha bżonn katina ta' ċertifikati li l-browsers tagħha jafdaw. Dan jista' jikkoeżisti ma' sit permezz tal-proxy li l-oriġini tiegħu mhuwiex maħsub li jiġi żurat xejn.

OpenVPN iġorr l-identità tas-server u l-awtentikazzjoni tal-klijent tiegħu stess, bl-awtorità taċ-ċertifikati tiegħu u l-protezzjoni tal-kanal ta' kontroll tiegħu. Katnazz fuq il-websajt ma jipprovdi xejn minn dan, u ż-żewġ proċessi tal-provvista għandhom jibqgħu separati.

L-espożizzjoni ssegwi l-isem

Rekord VPN DNS biss jippubblika l-indirizz li lejh jindika. Jekk dak l-indirizz huwa wkoll l-oriġini web, l-oriġini mhijiex moħbija, u li tiddeskriviha bħala moħbija għax l-isem l-ieħor huwa permezz tal-proxy huwa żball li jibqa' sakemm xi ħadd jiskannjah.

Iddeċiedi liema talbiet web jistgħu jilħqu l-oriġini direttament u infurzah fuq l-oriġini, imbagħad ippermetti s-semmiegħa tal-VPN skont il-kundizzjonijiet tiegħu. Paġni tal-amministrazzjoni, downloads tal-profil u s-semmiegħa tad-data jistgħu jkollhom tliet rekwiżiti ta' espożizzjoni differenti anki meta pakkett wieħed jipprovdi t-tlieta.

Żomm il-links iġġenerati fuq l-isem web pubbliku u l-iskema HTTPS, u żomm il-profili tal-klijent fuq l-isem tal-VPN bil-protokoll u l-port veri. Ħadd mill-żewġ servizzi m'għandu jiddependi milli jdawwar is-setting tal-proxy tal-ieħor waqt operazzjoni normali.

L-ordni tax-xogħol: isem permezz tal-proxy għas-sit, isem DNS biss għall-VPN, semmiegħa distinti, ċertifikat għal kull relazzjoni, imbagħad test wieħed li jipprova li kull isem jilħaq biss is-servizz li għandu.