Zakaj proxy Cloudflare ne more prenašati OpenVPN na enem imenu

En stroj poganja spletno stran in strežnik OpenVPN, skušnjava pa je usmeriti eno ime gostitelja nanj in pustiti oranžnemu oblaku, da uredi promet. Proxy uredi HTTP in HTTPS. Ne uredi seje OpenVPN, ne glede na to, katera vrata ta seja uporablja. Dve imeni, eno neposredno in eno prek proxyja, ne staneta nič in odstranita cel razred zmede.

Dve imeni, dva prenosa

Dajte spletni strani zapis prek proxyja, da njen promet HTTP in HTTPS poteka skozi Cloudflare. Dajte VPN-ju zapis samo z DNS, ki se razreši neposredno na javni vhod VPN, in pustite odjemalcu, da uporabi vrata UDP ali TCP, za katera je konfiguriran.

Obe imeni lahko končata na istem izvornem stroju. Razlika je v tem, kaj se dogaja med odjemalcem in tem strojem, in ta razlika je smisel ločitve.

Cloudflareov pregled omrežnih vrat našteva, katera vrata sprejme običajni spletni proxy. Ta seznam se nanaša na HTTP in HTTPS na teh vratih, ne na poljubne protokole, ki si slučajno delijo številko.

Vrata niso protokol

Premik OpenVPN na TCP 443 ga ne spremeni v HTTPS. Proxy še vedno pričakuje zahtevo HTTP na začetku povezave, odjemalec OpenVPN pa namesto tega pošlje binarno krmilno sporočilo. Povezava ne uspe na način, ki je videti kot omrežna blokada, ker v dnevnik ne prispe nič uporabnega.

Če je zahteva resnično postaviti izdelek Cloudflare na podatkovno pot VPN, ocenite takega, ki dokumentira podporo za protokol, ki ga potrebujete. Ne predpostavljajte, da je oranžni oblak splošen tunel TCP ali UDP, ker je obratni proxy za spletni promet s posebno nalogo.

Zapis samo z DNS je dolgočasen odgovor, ki deluje, in nanj se je treba zgrabiti najprej.

En stroj še vedno potrebuje dva poslušalca

Ločena imena ne dovoljujejo dvema procesoma, da bi hkrati vezala isti naslov, vrata in prenos. Če spletni strežnik že drži TCP 443 na vseh naslovih, instance OpenVPN ne more prevzeti tudi ona brez namernega dogovora.

Vežite poslušalec VPN na druga vrata ali na drug naslov, ali pred njega postavite dokumentiran multiplekser in sprejmite obratovalne stroške, ki jih to prinaša. Vsaka od teh izbir bi morala biti vidna v pravilih požarnega zidu, ker poslušalec, ki ga nihče ni dokumentiral, je tisti, ki se med incidentom spregleda. Izbrano vezavo zapišite v isti runbook, ki opisuje tunel. Takrat je naslednja oseba ne bo odkrila znova ob dveh zjutraj.

Potrdila sledijo povezavi, ki jo ščitijo

TLS povezava brskalnika do Cloudflare in povezava Cloudflare do vašega izvora sta dve ločeni razmerji z dvema ločenima potrdiloma. Brskalnik vidi robno potrdilo. Izvor predstavi Cloudflare svoje potrdilo, potrdilo Cloudflare Origin CA pa je namenjeno natanko temu drugemu razmerju.

Cloudflare temu izvornemu potrdilu zaupa v načinu Full (strict) in ni splošno zaupanja vredno potrdilo brskalnika. Če nekdo neposredno obišče ime gostitelja samo z DNS in prejme opozorilo, je to pričakovana posledica spremenjene poti zaupanja, ne dokaz, da se je šifriranje ustavilo.

Zato spletna stran, ki se obiskuje neposredno, potrebuje verigo potrdil, ki ji brskalniki zaupajo. To lahko obstaja ob strani prek proxyja, katere izvor sploh ni mišljen za obisk.

OpenVPN nosi svojo identiteto strežnika in preverjanje pristnosti odjemalca, z lastno potrditveno oblastjo in lastno zaščito krmilnega kanala. Ključavnica na spletni strani ne zagotavlja nič od tega, in oba postopka priprave bi morala ostati ločena.

Izpostavljenost sledi imenu

Zapis VPN samo z DNS objavi naslov, na katerega kaže. Če je ta naslov tudi spletni izvor, izvor ni skrit, in opisovati ga kot skritega zato, ker je drugo ime prek proxyja, je napaka, ki traja, dokler ga nekdo ne skenira.

Odločite, katere spletne zahteve lahko dosežejo izvor neposredno, in to uveljavite na izvoru, nato dovolite poslušalcu VPN pod njegovimi pogoji. Upravljalne strani, prenosi profilov in poslušalec podatkov imajo lahko tri različne zahteve glede izpostavljenosti, tudi ko en paket zagotavlja vse tri.

Držite ustvarjene povezave na javnem spletnem imenu in shemi HTTPS, odjemalčeve profile pa na imenu VPN z resničnim protokolom in vrati. Nobena od storitev ne bi smela biti pri običajnem delovanju odvisna od preklapljanja proxyjeve nastavitve druge.

Vrstni red dela: ime prek proxyja za stran, ime samo z DNS za VPN, ločeni poslušalci, potrdilo za vsako razmerje, nato en test, ki dokaže, da vsako ime doseže samo storitev, ki bi jo moralo.