Zašto Cloudflare proxy ne može nositi OpenVPN na jednom imenu

Jedna mašina pokreće veb-sajt i OpenVPN server, a iskušenje je uputiti jedno ime hosta na nju i pustiti narandžasti oblak da raščisti saobraćaj. Proxy raščišćava HTTP i HTTPS. On ne raščišćava OpenVPN sesiju, bez obzira na koji port ta sesija ide. Dva imena, jedno direktno i jedno proksirano, ne koštaju ništa i uklanjaju celu klasu zabune.

Dva imena, dva transporta

Dajte veb-sajtu proksiran zapis tako da njegov HTTP i HTTPS saobraćaj ide kroz Cloudflare. Dajte VPN-u zapis samo sa DNS-om koji se razrešava pravo na javni VPN ulaz, i pustite klijenta da koristi UDP ili TCP port za koji je konfigurisan.

Oba imena mogu završiti na istoj izvornoj mašini. Razlika je u tome šta se dešava između klijenta i te mašine, i ta razlika je smisao podele.

Cloudflareov pregled mrežnih portova navodi koje portove prihvata obični veb proxy. Taj spisak se odnosi na HTTP i HTTPS na tim portovima, a ne na proizvoljne protokole koji slučajno dele isti broj.

Port nije protokol

Premeštanje OpenVPN na TCP 443 ne pretvara ga u HTTPS. Proxy i dalje očekuje HTTP zahtev na početku veze, a OpenVPN klijent umesto toga šalje binarnu kontrolnu poruku. Veza pada na način koji izgleda kao mrežna blokada, jer ništa korisno ne stiže do loga.

Ako je zahtev zaista da stavite Cloudflare proizvod u VPN putanju podataka, procenite onaj koji dokumentuje podršku za protokol koji vam treba. Ne pretpostavljajte da je narandžasti oblak opšti TCP ili UDP tunel, jer je on obrnuti proxy za veb saobraćaj sa konkretnim zadatkom.

Zapis samo sa DNS-om je dosadan odgovor koji radi, i prvi je kome treba posegnuti.

Jedna mašina i dalje treba dva slušaoca

Odvojena imena ne dozvoljavaju dvama procesima da istovremeno vežu istu adresu, port i transport. Ako veb server već drži TCP 443 na svim adresama, OpenVPN instanca ga ne može takođe uzeti bez namernog dogovora.

Vežite VPN slušalac na drugi port, ili na drugu adresu, ili stavite dokumentovani multiplekser napred i prihvatite operativni trošak koji s tim ide. Svaki od tih izbora treba da bude vidljiv u pravilima firewall-a, jer slušalac koji niko nije dokumentovao je onaj koji se propusti tokom incidenta. Upišite izabrano vezivanje u isti runbook koji opisuje tunel. Tada ga sledeća osoba neće ponovo otkriti u dva sata ujutru.

Sertifikati prate vezu koju štite

TLS veza pregledača prema Cloudflareu i veza Cloudflarea prema vašem izvoru su dva odvojena odnosa sa dva odvojena sertifikata. Pregledač vidi sertifikat ivice. Izvor predstavlja svoj sertifikat Cloudflareu, a Cloudflare Origin CA sertifikat namenjen je upravo tom drugom odnosu.

Taj sertifikat izvora Cloudflare prihvata u režimu Full (strict) i on nije opšteprihvaćen sertifikat pregledača. Ako neko poseti ime hosta samo sa DNS-om direktno i dobije upozorenje, to je očekivana posledica promenjene putanje poverenja, a ne dokaz da je šifrovanje prestalo.

Veb-sajt kome se pristupa direktno zato treba lanac sertifikata kome njegovi pregledači veruju. To može postojati uz proksiranu stranicu čiji izvor uopšte nije predviđen za posetu.

OpenVPN nosi sopstveni identitet servera i autentifikaciju klijenta, sa svojim sertifikacionim telom i sopstvenom zaštitom kontrolnog kanala. Katanac na veb-sajtu ne obezbeđuje ništa od toga, i dva procesa obezbeđivanja treba da ostanu odvojena.

Izloženost prati ime

VPN zapis samo sa DNS-om objavljuje adresu na koju pokazuje. Ako je ta adresa i veb-izvor, izvor nije skriven, a opisivati ga kao skriven zato što je drugo ime proksirano greška je koja traje dok ga neko ne skenira.

Odlučite koji veb zahtevi smeju direktno da dosegnu izvor i to sprovedite na izvoru, a zatim dozvolite VPN slušaocu pod njegovim uslovima. Stranice za upravljanje, preuzimanja profila i slušalac podataka mogu imati tri različita zahteva za izloženost čak i kada jedan paket pruža sva tri.

Držite generisane linkove na javnom veb imenu i HTTPS šemi, a klijentske profile na VPN imenu sa stvarnim protokolom i portom. Nijedna usluga ne treba da zavisi od prebacivanja proxy postavke druge tokom normalnog rada.

Redosled rada: proksirano ime za stranicu, ime samo sa DNS-om za VPN, odvojeni slušaoci, sertifikat po odnosu, pa jedan test koji dokazuje da svako ime doseže samo uslugu koju treba.