Cloudflare پروکسی ایک نام پر OpenVPN کیوں نہیں اٹھا سکتا

ایک ہی مشین ویب سائٹ اور OpenVPN سرور چلاتی ہے، اور آزمائش یہ ہے کہ ایک ہوسٹ نام اسی کی طرف اشارہ کریں اور نارنجی بادل کو ٹریفک سنبھالنے دیں۔ پروکسی HTTP اور HTTPS سنبھالتا ہے۔ یہ OpenVPN سیشن نہیں سنبھالتا، چاہے وہ سیشن کوئی بھی پورٹ استعمال کرے۔ دو نام، ایک براہ راست اور ایک پروکسی کے ذریعے، کچھ خرچ نہیں کرتے اور الجھن کی پوری قسم ہٹا دیتے ہیں۔

دو نام، دو ترسیلیں

ویب سائٹ کو پروکسی شدہ ریکارڈ دیں تاکہ اس کی HTTP اور HTTPS ٹریفک Cloudflare سے گزرے۔ VPN کو صرف-DNS ریکارڈ دیں جو سیدھا عوامی VPN داخلے پر حل ہو، اور کلائنٹ کو وہی UDP یا TCP پورٹ استعمال کرنے دیں جس کے لیے وہ ترتیب دیا گیا ہے۔

دونوں نام ایک ہی اصل مشین پر پہنچ سکتے ہیں۔ فرق یہ ہے کہ کلائنٹ اور اس مشین کے درمیان کیا ہوتا ہے، اور یہی فرق تقسیم کا مقصد ہے۔

Cloudflare کا نیٹ ورک پورٹ حوالہ فہرست کرتا ہے کہ عام ویب پروکسی کون سی پورٹیں قبول کرتا ہے۔ وہ فہرست ان پورٹوں پر HTTP اور HTTPS کے بارے میں ہے، کسی بھی ایسے من مانی پروٹوکول کے بارے میں نہیں جو اتفاقاً ایک ہی نمبر بانٹتا ہو۔

پورٹ پروٹوکول نہیں ہے

OpenVPN کو TCP 443 پر منتقل کرنا اسے HTTPS نہیں بناتا۔ پروکسی اب بھی کنکشن کے آغاز میں HTTP درخواست کا انتظار کرتا ہے، اور OpenVPN کلائنٹ اس کے بجائے بائنری کنٹرول پیغام بھیجتا ہے۔ کنکشن ایسے طریقے سے ناکام ہوتا ہے جو نیٹ ورک رکاوٹ جیسا لگتا ہے، کیونکہ لاگ تک کوئی کارآمد چیز نہیں پہنچتی۔

اگر ضرورت واقعی VPN کے ڈیٹا راستے میں Cloudflare کی مصنوعات رکھنا ہے، تو ایسی مصنوع کا جائزہ لیں جو آپ کے مطلوبہ پروٹوکول کی حمایت کی دستاویز کرتی ہو۔ یہ مت سمجھیں کہ نارنجی بادل کوئی عام TCP یا UDP سرنگ ہے، کیونکہ یہ مخصوص کام والی ویب ٹریفک کے لیے معکوس پروکسی ہے۔

صرف-DNS ریکارڈ وہ بورنگ جواب ہے جو کام کرتا ہے، اور پہلے اسی کی طرف ہاتھ بڑھانا چاہیے۔

ایک مشین کو اب بھی دو سننے والے درکار ہیں

الگ نام دو عملوں کو ایک ہی وقت میں ایک ہی پتہ، پورٹ اور ترسیل باندھنے کی اجازت نہیں دیتے۔ اگر ویب سرور پہلے ہی تمام پتوں پر TCP 443 رکھتا ہے، تو OpenVPN مثال جان بوجھ کر کیے گئے انتظام کے بغیر اسے بھی نہیں لے سکتی۔

VPN سننے والے کو کسی دوسری پورٹ، یا کسی دوسرے پتے سے باندھیں، یا سامنے دستاویزی ملٹی پلیکسر رکھیں اور اس کے ساتھ آنے والا عملی خرچ قبول کریں۔ ان میں سے ہر انتخاب فائر وال قواعد میں نظر آنا چاہیے، کیونکہ جس سننے والے کو کسی نے دستاویز نہیں کیا وہی واقعے کے دوران نظر انداز ہوتا ہے۔ منتخب کردہ بندھن کو اسی رن بک میں لکھیں جو سرنگ کی وضاحت کرتی ہے۔ پھر اگلے شخص کو رات دو بجے اسے دوبارہ دریافت نہیں کرنا پڑے گا۔

سرٹیفکیٹ اسی تعلق کی پیروی کرتے ہیں جس کی وہ حفاظت کرتے ہیں

براؤزر کا Cloudflare تک TLS کنکشن اور Cloudflare کا آپ کے اصل تک کنکشن دو الگ سرٹیفکیٹوں والے دو الگ تعلقات ہیں۔ براؤزر کنارے کا سرٹیفکیٹ دیکھتا ہے۔ اصل اپنا سرٹیفکیٹ Cloudflare کو پیش کرتا ہے، اور Cloudflare Origin CA سرٹیفکیٹ بالکل اسی دوسرے تعلق کے لیے ہے۔

اس اصل سرٹیفکیٹ پر Cloudflare Full (strict) موڈ میں بھروسا کرتا ہے اور یہ عام طور پر قابلِ بھروسا براؤزر سرٹیفکیٹ نہیں ہے۔ اگر کوئی صرف-DNS ہوسٹ نام پر براہ راست جائے اور انتباہ پائے، تو یہ بدلے ہوئے بھروسے کے راستے کا متوقع نتیجہ ہے، خفیہ کاری رکنے کا ثبوت نہیں۔

اسی لیے براہ راست دیکھی جانے والی ویب سائٹ کو ایسا سرٹیفکیٹ سلسلہ درکار ہے جس پر اس کے براؤزر بھروسا کریں۔ یہ ایسی پروکسی شدہ سائٹ کے ساتھ بھی رہ سکتا ہے جس کے اصل پر جانے کا کوئی ارادہ نہ ہو۔

OpenVPN اپنی سرور شناخت اور کلائنٹ تصدیق اپنے سرٹیفکیٹ اتھارٹی اور اپنے کنٹرول چینل کے تحفظ کے ساتھ لے کر چلتا ہے۔ ویب سائٹ پر تالا ان میں سے کچھ نہیں دیتا، اور دونوں تیاری کے عمل الگ رہنے چاہئیں۔

افشا نام کی پیروی کرتا ہے

صرف-DNS VPN ریکارڈ وہ پتہ شائع کرتا ہے جس کی طرف اشارہ کرتا ہے۔ اگر وہی پتہ ویب اصل بھی ہو، تو اصل چھپا نہیں ہے، اور دوسرا نام پروکسی ہونے کی وجہ سے اسے چھپا ہوا کہنا ایسی غلطی ہے جو کسی کے اسکین کرنے تک قائم رہتی ہے۔

طے کریں کہ کون سی ویب درخواستیں اصل تک براہ راست پہنچ سکتی ہیں اور اسے اصل پر نافذ کریں، پھر VPN سننے والے کو اس کی اپنی شرائط پر اجازت دیں۔ انتظامی صفحات، پروفائل ڈاؤن لوڈ اور ڈیٹا سننے والا تین مختلف افشا تقاضے رکھ سکتے ہیں، چاہے ایک ہی پیکج تینوں فراہم کرے۔

بنائے گئے لنک عوامی ویب نام اور HTTPS اسکیم پر رکھیں، اور کلائنٹ پروفائل VPN نام پر حقیقی پروٹوکول اور پورٹ کے ساتھ رکھیں۔ عام کارروائی میں کسی بھی سروس کو دوسرے کی پروکسی ترتیب پلٹنے پر انحصار نہیں کرنا چاہیے۔

کام کی ترتیب: سائٹ کے لیے پروکسی شدہ نام، VPN کے لیے صرف-DNS نام، الگ سننے والے، ہر تعلق کے لیے سرٹیفکیٹ، اور پھر ایک امتحان جو ثابت کرے کہ ہر نام صرف اسی سروس تک پہنچتا ہے جہاں پہنچنا چاہیے۔