Kwa nini proksi ya Cloudflare haiwezi kubeba OpenVPN kwa jina moja

Mashine moja huendesha tovuti na seva ya OpenVPN, na kishawishi ni kuelekeza jina moja la mwenyeji kwake na kuacha wingu la machungwa likamilishe usafirishaji. Proksi hukamilisha HTTP na HTTPS. Haikamilishi kipindi cha OpenVPN, bila kujali bandari ipi kipindi hicho kinatumia. Majina mawili, moja la moja kwa moja na moja kwa njia ya proksi, hayagharimu chochote na huondoa darasa lote la mkanganyiko.

Majina mawili, usafirishaji mbili

Ipe tovuti rekodi iliyopitishwa kwa proksi ili usafirishaji wake wa HTTP na HTTPS upite Cloudflare. Ipe VPN rekodi ya DNS pekee inayotatuliwa moja kwa moja hadi mlango wa umma wa VPN, na uache mteja atumie bandari ya UDP au TCP aliyoundiwa.

Majina yote mawili yanaweza kuishia kwenye mashine moja ya asili. Tofauti ni kile kinachotokea kati ya mteja na mashine hiyo, na tofauti hiyo ndiyo maana ya mgawanyiko.

Marejeleo ya bandari za mtandao ya Cloudflare yanaorodhesha bandari ambazo proksi ya kawaida ya wavuti inakubali. Orodha hiyo inahusu HTTP na HTTPS kwenye bandari hizo, si itifaki za kiholela zinazotokea kushiriki namba moja.

Bandari si itifaki

Kuhamisha OpenVPN hadi TCP 443 hakukufanyi kuwa HTTPS. Proksi bado inatarajia ombi la HTTP mwanzoni mwa muunganisho, na mteja wa OpenVPN hutuma ujumbe wa udhibiti wa binary badala yake. Muunganisho hushindwa kwa namna inayofanana na kizuizi cha mtandao kwa sababu hakuna kitu cha manufaa kinachofikia kumbukumbu.

Ikiwa hitaji ni kweli kuweka bidhaa ya Cloudflare kwenye njia ya data ya VPN, tathmini ile inayoandika msaada wa itifaki unayohitaji. Usidhani wingu la machungwa ni handaki la jumla la TCP au UDP, kwa sababu ni proksi ya nyuma kwa usafirishaji wa wavuti yenye kazi maalum.

Rekodi ya DNS pekee ni jibu la kuchosha linalofanya kazi, na ndilo la kwanza la kushikwa.

Mashine moja bado inahitaji wasikilizaji wawili

Majina yaliyotenganishwa hayaruhusu michakato miwili kufunga anwani, bandari na usafirishaji sawa kwa wakati mmoja. Ikiwa seva ya wavuti tayari inashikilia TCP 443 kwenye anwani zote, mfano wa OpenVPN hauwezi kuichukua pia bila mpango wa makusudi.

Funga mskilizaji wa VPN kwenye bandari nyingine, au anwani nyingine, au weka mbele multiplexer iliyoandikwa na ukubali gharama ya uendeshaji inayoambatana nayo. Kila moja ya chaguo hizo inapaswa kuonekana katika sheria za firewall, kwa sababu mskilizaji ambaye hakuna aliyemwandika ndiye anayekosekana wakati wa tukio. Andika ufungaji uliochaguliwa katika runbook ile ile inayoelezea handaki. Kisha mtu anayefuata hatagundua tena saa mbili usiku.

Vyeti hufuata muunganisho vinavyolinda

Muunganisho wa TLS wa kivinjari hadi Cloudflare na muunganisho wa Cloudflare hadi asili yako ni mahusiano mawili tofauti na vyeti viwili tofauti. Kivinjari huona cheti cha ukingo. Asili huwasilisha cheti chake mwenyewe kwa Cloudflare, na cheti cha Cloudflare Origin CA kimekusudiwa hasa mahusiano hayo ya pili.

Cheti hicho cha asili kinaaminiwa na Cloudflare katika hali ya Full (strict) na si cheti cha kivinjari kinachoaminiwa kwa ujumla. Ikiwa mtu atatembelea jina la mwenyeji la DNS pekee moja kwa moja na kupata onyo, hiyo ni matokeo yanayotarajiwa ya njia ya uaminifu iliyobadilika, si ushahidi kwamba usimbaji fiche ulisimama.

Kwa hiyo tovuti inayotembelewa moja kwa moja inahitaji mnyororo wa vyeti ambao vivinjari vyake vinaamini. Hilo linaweza kuwepo pamoja na tovuti iliyopitishwa kwa proksi ambayo asili yake haikusudiwi kutembelewa kabisa.

OpenVPN hubeba utambulisho wake wa seva na uthibitishaji wa mteja, pamoja na mamlaka yake ya vyeti na ulinzi wake wa kituo cha udhibiti. Kufuli kwenye tovuti hakutoa chochote kati ya hivyo, na michakato miwili ya maandalizi inapaswa kubaki tofauti.

Mfichuo hufuata jina

Rekodi ya VPN ya DNS pekee huchapisha anwani inayoelekea. Ikiwa anwani hiyo pia ni asili ya wavuti, asili haifichwi, na kuelezea kuwa imefichwa kwa sababu jina lingine limepitishwa kwa proksi ni kosa linalodumu hadi mtu achunguze.

Amua ni maombi gani ya wavuti yanayoweza kufikia asili moja kwa moja na uyatekeleze kwenye asili, kisha ruhusu mskilizaji wa VPN kwa masharti yake mwenyewe. Kurasa za usimamizi, vipakuliwa vya wasifu na mskilizaji wa data vinaweza kuwa na mahitaji matatu tofauti ya mfichuo hata wakati kifurushi kimoja kinatoa yote matatu.

Weka viungo vilivyozalishwa kwenye jina la wavuti la umma na mpango wa HTTPS, na uweke wasifu wa mteja kwenye jina la VPN na itifaki na bandari halisi. Hakuna huduma yoyote inayopaswa kutegemea kugeuza mpangilio wa proksi wa nyingine wakati wa operesheni ya kawaida.

Mpangilio wa kazi: jina lililopitishwa kwa proksi kwa tovuti, jina la DNS pekee kwa VPN, wasikilizaji tofauti, cheti kwa kila mahusiano, kisha jaribio moja linalothibitisha kuwa kila jina hufikia huduma inayostahili pekee.