Зашто Cloudflare прокси не може да носи OpenVPN на једном имену

Једна машина покреће веб-сајт и OpenVPN сервер, а искушење је усмерити једно име хоста на њу и пустити наранџасти облак да среди саобраћај. Прокси сређује HTTP и HTTPS. Он не сређује OpenVPN сесију, без обзира на који порт та сесија иде. Два имена, једно директно и једно проксирано, не коштају ништа и уклањају целу класу забуне.

Два имена, два транспорта

Дајте веб-сајту запис преко проксија тако да његов HTTP и HTTPS саобраћај иде кроз Cloudflare. Дајте VPN-у запис само са DNS-ом који се разрешава право на јавни VPN улаз, и пустите клијента да користи UDP или TCP порт за који је конфигурисан.

Оба имена могу завршити на истој изворној машини. Разлика је у томе шта се дешава између клијента и те машине, и та разлика је смисао поделе.

Cloudflare-ов преглед мрежних портова наводи које портове прихвата обични веб прокси. Тај списак се односи на HTTP и HTTPS на тим портовима, а не на произвољне протоколе који случајно деле исти број.

Порт није протокол

Премештање OpenVPN-а на TCP 443 не претвара га у HTTPS. Прокси и даље очекује HTTP захтев на почетку везе, а OpenVPN клијент уместо тога шаље бинарну контролну поруку. Веза пада на начин који изгледа као мрежна блокада, јер ништа корисно не стиже до лога.

Ако је захтев заиста да ставите Cloudflare производ у VPN путању података, процените онај који документује подршку за протокол који вам треба. Не претпостављајте да је наранџасти облак општи TCP или UDP тунел, јер је он обрнути прокси за веб саобраћај са конкретним задатком.

Запис само са DNS-ом је досадан одговор који ради, и први је коме треба посегнути.

Једна машина и даље треба два слушаоца

Одвојена имена не дозвољавају двама процесима да истовремено вежу исту адресу, порт и транспорт. Ако веб сервер већ држи TCP 443 на свим адресама, OpenVPN инстанца га не може такође узети без намерног договора.

Вежите VPN слушалац на други порт, или на другу адресу, или ставите документовани мултиплексер напред и прихватите оперативни трошак који с тим иде. Сваки од тих избора треба да буде видљив у правилима заштитног зида, јер слушалац који нико није документовао је онај који се пропусти током инцидента. Упишите изабрано везивање у исти runbook који описује тунел. Тада га следећа особа неће поново открити у два сата ујутру.

Сертификати прате везу коју штите

TLS веза прегледача према Cloudflare-у и веза Cloudflare-а према вашем извору су два одвојена односа са два одвојена сертификата. Прегледач види сертификат ивице. Извор представља свој сертификат Cloudflare-у, а Cloudflare Origin CA сертификат је намењен управо том другом односу.

Тај сертификат извора Cloudflare прихвата у режиму Full (strict) и он није општеприхваћен сертификат прегледача. Ако неко посети име хоста само са DNS-ом директно и добије упозорење, то је очекивана последица промењене путање поверења, а не доказ да је шифровање престало.

Веб-сајт коме се приступа директно зато треба ланац сертификата коме његови прегледачи верују. То може постојати уз проксирану страницу чији извор уопште није предвиђен за посету.

OpenVPN носи сопствени идентитет сервера и аутентификацију клијента, са својим сертификационим телом и сопственом заштитом контролног канала. Катанац на веб-сајту не обезбеђује ништа од тога, и два процеса обезбеђивања треба да остану одвојена.

Изложеност прати име

VPN запис само са DNS-ом објављује адресу на коју показује. Ако је та адреса и веб-извор, извор није скривен, а описивати га као скривен зато што је друго име проксирано грешка је која траје док га неко не скенира.

Одлучите који веб захтеви смеју директно да досегну извор и то спроведите на извору, а затим дозволите VPN слушаоцу под његовим условима. Странице за управљање, преузимања профила и слушалац података могу имати три различита захтева за изложеност чак и када један пакет пружа сва три.

Држите генерисане линкове на јавном веб имену и HTTPS шеми, а клијентске профиле на VPN имену са стварним протоколом и портом. Ниједна услуга не треба да зависи од пребацивања прокси поставке друге током нормалног рада.

Редослед рада: проксирано име за страницу, име само са DNS-ом за VPN, одвојени слушаоци, сертификат по односу, па један тест који доказује да свако име досеже само услугу коју треба.