Kvifor Cloudflare-proxyen ikkje kan bera OpenVPN på eitt namn

Éi maskin køyrer nettstaden og OpenVPN-tenaren, og freistinga er å peike eitt vertsnamn mot henne og la den oransje skya ordne trafikken. Proxyen ordnar HTTP og HTTPS. Han ordnar ikkje ei OpenVPN-økt, uansett kva port ho brukar. To namn, eitt direkte og eitt proxa, kostar ingenting og fjernar heile denne klassen av forvirring.

To namn, to transportlag

Gje nettstaden ein proxa post slik at HTTP- og HTTPS-trafikken går gjennom Cloudflare. Gje VPN-en ein DNS-berre post som løyser direkte til den offentlege VPN-inngangen, og la klienten bruke den UDP- eller TCP-porten han er sett opp for.

Båe namna kan enda på same opphavsmaskin. Skilnaden er kva som skjer mellom klienten og den maskina, og den skilnaden er poenget med delinga.

Cloudflare sin referanse for nettverksportar listar opp kva portar den vanlege nettproxyen godtek. Den lista gjeld HTTP og HTTPS på desse portane, ikkje vilkårlege protokollar som tilfeldigvis deler eit nummer.

Porten er ikkje protokollen

Å flytte OpenVPN til TCP 443 gjer det ikkje til HTTPS. Proxyen ventar framleis ein HTTP-førespurnad i starten av tilkoblinga, og ein OpenVPN-klient sender i staden ei binær kontrollmelding. Tilkoblinga feilar på ein måte som ser ut som ei nettverksblokkering, fordi ingenting nyttig når ein logg.

Viss kravet verkeleg er å setje eit Cloudflare-produkt i datastien til VPN-en, vurder eit som dokumenterer støtte for protokollen du treng. Ikkje gå ut frå at den oransje skya er ein generell TCP- eller UDP-tunnel, for ho er ein omvend proxy for netttrafikk med ei bestemd oppgåve.

Ein DNS-berre post er det keisame svaret som fungerer, og det er det ein bør gripe til fyrst.

Éi maskin treng framleis to lyttarar

Skilde namn lèt ikkje to prosessar binda same adresse, port og transport samstundes. Viss nettenaren allereie held TCP 443 på alle adresser, kan ein OpenVPN-førekomst ikkje også ta han utan ei medviten ordning.

Bind VPN-lyttaren til ein annan port, eller ei anna adresse, eller set ein dokumentert multipleksar framfor og godta driftskostnaden som følgjer. Kvart av desse vala bør vere synleg i brannmurreglane, for ein lyttar som ingen har dokumentert, er den som blir oversett under ei hending. Skriv den valde bindinga i same runbook som skildrar tunnelen. Då oppdagar ikkje neste person han på nytt klokka to om natta.

Sertifikat følgjer tilkoblinga dei vernar

TLS-tilkoblinga til nettlesaren mot Cloudflare og tilkoblinga til Cloudflare mot opphavet ditt er to skilde tilhøve med to skilde sertifikat. Nettlesaren ser eit kantsertifikat. Opphavet presenterer sitt eige sertifikat for Cloudflare, og eit Cloudflare Origin CA-sertifikat er meint nettopp for det andre tilhøvet.

Dette opphavssertifikatet blir stole på av Cloudflare i Full (strict)-modus, og det er ikkje eit ålment klarert nettlesarsertifikat. Viss nokon vitjar DNS-berre vertsnamnet direkte og får ei åtvaring, er det den venta følgja av ein endra tillitssti, ikkje prov på at krypteringa stoppa.

Ein nettstad som blir vitja direkte treng difor ei sertifikatkjede som nettlesarane stolar på. Det kan eksistere side om side med ein proxa nettstad der opphavet slett ikkje er meint å bli vitja.

OpenVPN ber si eiga tenaridentitet og klientautentisering, med si eiga sertifikatstyresmakt og sitt eige vern av kontrollkanalen. Ein hengjelås på nettstaden gjev ingenting av dette, og dei to klargjeringsprosessane bør haldast skilde.

Eksponering følgjer namnet

Ein DNS-berre VPN-post publiserer adressa han peikar til. Viss den adressa også er nettopphavet, er opphavet ikkje skjult, og å skildre det som skjult fordi det andre namnet er proxa, er ein feil som varer til nokon skannar etter det.

Avgjer kva nettførespurnader som kan nå opphavet direkte, og handhev det ved opphavet, og tillat deretter VPN-lyttaren på eigne vilkår. Administrasjonssider, profildownloads og datalyttaren kan ha tre ulike eksponeringskrav sjølv når éin pakke leverer alle tre.

Hald genererte lenkjer på det offentlege nettnammet og HTTPS-skjemaet, og hald klientprofilar på VPN-namnet med den ekte protokollen og porten. Ingen av tenestene bør under normal drift vere avhengige av å snu proxyinnstillinga til den andre.

Arbeidsrekkjefølgje: proxa namn for nettstaden, DNS-berre namn for VPN-en, skilde lyttarar, sertifikat per tilhøve, og deretter éin test som provar at kvart namn berre når tenesta det skal.