Pse proxy-ja e Cloudflare nuk mund të mbajë OpenVPN në një emër të vetëm

Një makinë e vetme ekzekuton faqen e internetit dhe serverin OpenVPN, dhe tundimi është të drejtohet një emër i vetëm hosti drejt saj dhe të lihet reja portokalli të rregullojë trafikun. Proxy-ja rregullon HTTP dhe HTTPS. Ajo nuk rregullon një sesion OpenVPN, cilido port që ai sesion përdor. Dy emra, një direkt dhe një përmes proxy-t, nuk kushtojnë asgjë dhe heqin të gjithë këtë klasë konfuzioni.

Dy emra, dy transporta

Jepini faqes një regjistrim të proxy-t që trafiku i saj HTTP dhe HTTPS të kalojë përmes Cloudflare. Jepini VPN-së një regjistrim vetëm DNS që zgjidhet drejt në hyrjen publike të VPN-së, dhe lëreni klientin të përdorë portin UDP ose TCP për të cilin është konfiguruar.

Të dy emrat mund të përfundojnë në të njëjtën makinë origjine. Dallimi është çfarë ndodh midis klientit dhe asaj makine, dhe ky dallim është qëllimi i ndarjes.

Referenca e porteve të rrjetit e Cloudflare rendit cilat porte pranon proxy-ja e zakonshme e internetit. Ai listë ka të bëjë me HTTP dhe HTTPS në ato porte, jo me protokolle arbitrare që ndajnë rastësisht një numër.

Porti nuk është protokolli

Kalimi i OpenVPN në TCP 443 nuk e kthen atë në HTTPS. Proxy-ja ende pret një kërkesë HTTP në fillim të lidhjes, dhe një klient OpenVPN dërgon në vend të saj një mesazh kontrolli binar. Lidhja dështon në një mënyrë që duket si bllokim rrjeti sepse asgjë e dobishme nuk arrin në një regjistër.

Nëse kërkesa është vërtet të vendoset një produkt Cloudflare në rrugën e të dhënave të VPN-së, vlerësoni një që dokumenton mbështetje për protokollin që ju nevojitet. Mos supozoni se reja portokalli është një tunel i përgjithshëm TCP ose UDP, sepse është një proxy e kundërt për trafikun e internetit me një detyrë specifike.

Një regjistrim vetëm DNS është përgjigjja e mërzitshme që funksionon, dhe është ajo të cilës duhet t'i drejtohesh fillimisht.

Një makinë ka ende nevojë për dy dëgjues

Emrat e ndarë nuk lejojnë dy procese të lidhin të njëjtën adresë, port dhe transport në të njëjtën kohë. Nëse serveri i internetit mban tashmë TCP 443 në të gjitha adresat, një instancë OpenVPN nuk mund ta marrë edhe atë pa një marrëveshje të qëllimshme.

Lidhni dëgjuesin e VPN-së me një port tjetër, ose me një adresë tjetër, ose vendosni përpara një multiplekser të dokumentuar dhe pranoni koston operative që vjen me të. Secila prej këtyre zgjedhjeve duhet të jetë e dukshme në rregullat e firewall-it, sepse një dëgjues që askush nuk e dokumentoi është ai që humbet gjatë një incidenti. Shkruani lidhjen e zgjedhur në të njëjtin runbook që përshkruan tunelin. Atëherë personi tjetër nuk do ta zbulojë përsëri në orën dy të mëngjesit.

Certifikatat ndjekin lidhjen që mbrojnë

Lidhja TLS e shfletuesit me Cloudflare dhe lidhja e Cloudflare me origjinën tuaj janë dy marrëdhënie të ndara me dy certifikata të ndara. Shfletuesi sheh një certifikatë skaji. Origjina i paraqet Cloudflare certifikatën e saj, dhe një certifikatë Cloudflare Origin CA është menduar pikërisht për atë marrëdhënie të dytë.

Ajo certifikatë origjine besohet nga Cloudflare në modalitetin Full (strict) dhe nuk është një certifikatë shfletuesi e besuar përgjithësisht. Nëse dikush viziton drejtpërdrejt emrin e hostit vetëm DNS dhe merr një paralajmërim, kjo është pasoja e pritur e një rruge besimi të ndryshuar, jo prova se kriptimi u ndal.

Prandaj një faqe interneti e vizituar drejtpërdrejt ka nevojë për një zinxhir certifikatash që shfletuesit e saj besojnë. Kjo mund të bashkëjetojë me një faqe të proxy-t, origjina e së cilës nuk është menduar fare për vizitë.

OpenVPN mbart identitetin e vet të serverit dhe vërtetimin e klientit, me autoritetin e vet të certifikatave dhe mbrojtjen e vet të kanalit të kontrollit. Një dry në faqen e internetit nuk siguron asgjë nga këto, dhe dy proceset e përgatitjes duhet të mbeten të ndara.

Ekspozimi ndjek emrin

Një regjistrim VPN vetëm DNS publikon adresën drejt së cilës tregon. Nëse ajo adresë është edhe origjina e internetit, origjina nuk është e fshehur, dhe përshkrimi i saj si e fshehur sepse emri tjetër është me proxy është një gabim që zgjat derisa dikush ta skanojë atë.

Vendosni cilat kërkesa interneti mund të arrijnë drejtpërdrejt origjinën dhe zbatojeni atë në origjinë, pastaj lejoni dëgjuesin e VPN-së sipas kushteve të veta. Faqet e administrimit, shkarkimet e profilit dhe dëgjuesi i të dhënave mund të kenë tre kërkesa të ndryshme ekspozimi edhe kur një paketë i ofron të treja.

Mbani lidhjet e krijuara në emrin publik të internetit dhe skemën HTTPS, dhe mbani profilet e klientit në emrin e VPN-së me protokollin dhe portin e vërtetë. Asnjëra nga shërbimet nuk duhet të varet nga kthimi i cilësimit të proxy-t të tjetrës gjatë funksionimit normal.

Rendi i punës: emër me proxy për faqen, emër vetëm DNS për VPN-në, dëgjues të ndarë, certifikatë për çdo marrëdhënie, dhe pastaj një provë që vërteton se çdo emër arrin vetëm shërbimin që duhet.