Cloudflare proxy'si OpenVPN'i neden tek bir ad üzerinde taşıyamaz

Tek bir makine hem web sitesini hem de OpenVPN sunucusunu çalıştırır ve cazibe tek bir ana bilgisayar adını ona yönlendirip turuncu bulutun trafiği düzenlemesine izin vermektir. Proxy HTTP ve HTTPS'i düzenler. OpenVPN oturumunu düzenlemez, o oturum hangi bağlantı noktasını kullanırsa kullansın. İki ad, biri doğrudan diğeri proxy üzerinden, hiçbir şeye mal olmaz ve bu karmaşa sınıfının tamamını ortadan kaldırır.

İki ad, iki taşıma

Web sitesine proxy'lenmiş bir kayıt verin ki HTTP ve HTTPS trafiği Cloudflare'den geçsin. VPN'e doğrudan genel VPN girişine çözülen yalnızca DNS kaydı verin ve istemcinin yapılandırıldığı UDP veya TCP bağlantı noktasını kullanmasına izin verin.

Her iki ad da aynı kaynak makinede sonlanabilir. Fark, istemci ile o makine arasında ne olduğudur ve bu fark ayırmanın anlamıdır.

Cloudflare'in ağ bağlantı noktası başvurusu sıradan web proxy'sinin hangi bağlantı noktalarını kabul ettiğini listeler. Bu liste o bağlantı noktalarındaki HTTP ve HTTPS hakkındadır, aynı numarayı paylaşan rastgele protokoller hakkında değil.

Bağlantı noktası protokol değildir

OpenVPN'i TCP 443'e taşımak onu HTTPS yapmaz. Proxy hâlâ bağlantının başında bir HTTP isteği bekler ve OpenVPN istemcisi bunun yerine ikili bir denetim iletisi gönderir. Bağlantı, bir ağ engeli gibi görünen şekilde başarısız olur çünkü günlüğe yararlı hiçbir şey ulaşmaz.

Gereksinim gerçekten VPN veri yoluna bir Cloudflare ürünü koymaksa, ihtiyacınız olan protokolün desteğini belgeleyen bir ürünü değerlendirin. Turuncu bulutun genel bir TCP veya UDP tüneli olduğunu varsaymayın, çünkü o belirli bir işi olan web trafiği için ters proxy'dir.

Yalnızca DNS kaydı işe yarayan sıkıcı cevaptır ve ilk ona uzanılmalıdır.

Bir makine hâlâ iki dinleyici gerektirir

Ayrı adlar iki sürecin aynı adresi, bağlantı noktasını ve taşımayı aynı anda bağlamasına izin vermez. Web sunucusu tüm adreslerde TCP 443'ü zaten tutuyorsa, bir OpenVPN örneği bunu kasıtlı bir düzenleme olmadan o da alamaz.

VPN dinleyicisini başka bir bağlantı noktasına veya başka bir adrese bağlayın, ya da önüne belgelenmiş bir çoklayıcı koyun ve beraberinde gelen işletme maliyetini kabul edin. Bu seçimlerin her biri güvenlik duvarı kurallarında görünmelidir, çünkü kimsenin belgelemediği dinleyici bir olay sırasında gözden kaçan dinleyicidir. Seçilen bağlamayı tüneli açıklayan aynı runbook'a yazın. O zaman bir sonraki kişi gece ikide onu yeniden keşfetmek zorunda kalmaz.

Sertifikalar korudukları bağlantıyı izler

Tarayıcının Cloudflare'e TLS bağlantısı ile Cloudflare'in sizin kaynağınıza bağlantısı, iki ayrı sertifikayla iki ayrı ilişkidir. Tarayıcı bir kenar sertifikası görür. Kaynak kendi sertifikasını Cloudflare'e sunar ve Cloudflare Origin CA sertifikası tam olarak bu ikinci ilişki içindir.

Bu kaynak sertifikasına Cloudflare Full (strict) modunda güvenir ve bu genel olarak güvenilen bir tarayıcı sertifikası değildir. Biri yalnızca DNS ana bilgisayar adını doğrudan ziyaret edip bir uyarı alırsa, bu değişmiş bir güven yolunun beklenen sonucudur, şifrelemenin durduğunun kanıtı değildir.

Bu nedenle doğrudan ziyaret edilen bir web sitesi, tarayıcılarının güvendiği bir sertifika zincirine ihtiyaç duyar. Bu, kaynağı hiç ziyaret edilmek üzere tasarlanmamış proxy'lenmiş bir siteyle bir arada bulunabilir.

OpenVPN kendi sunucu kimliğini ve istemci kimlik doğrulamasını, kendi sertifika otoritesi ve kendi denetim kanalı korumasıyla taşır. Web sitesindeki bir kilit bunların hiçbirini sağlamaz ve iki hazırlama süreci ayrı kalmalıdır.

Maruz kalma adı izler

Yalnızca DNS VPN kaydı işaret ettiği adresi yayımlar. Bu adres aynı zamanda web kaynağıysa, kaynak gizli değildir ve diğer ad proxy'li olduğu için onu gizli diye tanımlamak, biri onu tarayana kadar süren bir hatadır.

Hangi web isteklerinin kaynağa doğrudan ulaşabileceğine karar verin ve bunu kaynakta uygulayın, ardından VPN dinleyicisine kendi koşullarıyla izin verin. Yönetim sayfaları, profil indirmeleri ve veri dinleyicisi, tek bir paket üçünü de sağlasa bile üç farklı maruz kalma gereksinimine sahip olabilir.

Oluşturulan bağlantıları genel web adında ve HTTPS şemasında tutun, istemci profillerini gerçek protokol ve bağlantı noktasıyla VPN adında tutun. İki hizmetten hiçbiri normal çalışma sırasında diğerinin proxy ayarını ters çevirmeye bağlı olmamalıdır.

İş sırası: site için proxy'lenmiş ad, VPN için yalnızca DNS adı, ayrı dinleyiciler, her ilişki için sertifika, ardından her adın yalnızca ulaşması gereken hizmete ulaştığını kanıtlayan bir test.