Nima uchun Cloudflare proksisi OpenVPN ni bitta nomda olib yura olmaydi

Bitta mashina ham veb-saytni, ham OpenVPN serverini ishga tushiradi va vasvasa bitta xost nomini unga yo'naltirib, to'q sariq bulutga trafikni tartibga solishni qo'yib berishdir. Proksi HTTP va HTTPS ni tartibga soladi. U OpenVPN seansini tartibga solmaydi, bu seans qaysi portdan foydalansa ham. Ikki nom, biri to'g'ridan-to'g'ri va biri proksi orqali, hech narsa turmaydi va chalkashlikning butun sinfini yo'q qiladi.

Ikki nom, ikki tashish

Veb-saytga proksilangan yozuv bering, uning HTTP va HTTPS trafigi Cloudflare orqali o'tsin. VPN ga faqat DNS yozuvini bering, u to'g'ridan-to'g'ri ommaviy VPN kirishiga hal qilinadi, va mijoz o'zi uchun sozlangan UDP yoki TCP portidan foydalansin.

Ikkala nom ham bitta manba mashinaga kelishi mumkin. Farq mijoz va o'sha mashina o'rtasida nima sodir bo'lishida, va bu farq ajratishning ma'nosi.

Cloudflare ning tarmoq portlari ma'lumotnomasi oddiy veb-proksi qaysi portlarni qabul qilishini sanab o'tadi. Bu ro'yxat o'sha portlardagi HTTP va HTTPS haqida, tasodifan bitta raqamni bo'lishadigan ixtiyoriy protokollar haqida emas.

Port protokol emas

OpenVPN ni TCP 443 ga ko'chirish uni HTTPS ga aylantirmaydi. Proksi hali ham ulanish boshida HTTP so'rovini kutadi, va OpenVPN mijozi uning o'rniga ikkilik boshqaruv xabarini yuboradi. Ulanish tarmoq to'sig'iga o'xshab ko'rinadigan tarzda muvaffaqiyatsiz bo'ladi, chunki jurnalga foydali hech narsa yetib bormaydi.

Agar talab haqiqatan VPN ma'lumot yo'liga Cloudflare mahsulotini qo'yish bo'lsa, sizga kerakli protokolni qo'llab-quvvatlashi hujjatlashtirilgan mahsulotni baholang. To'q sariq bulutni umumiy TCP yoki UDP tunnel deb o'ylamang, chunki u aniq vazifaga ega veb-trafik uchun teskari proksi.

Faqat DNS yozuvi ishlaydigan zerikarli javob, va birinchi navbatda o'shanga murojaat qilish kerak.

Bitta mashinaga hali ham ikkita tinglovchi kerak

Alohida nomlar ikki jarayonga bir vaqtning o'zida bir xil manzil, port va tashishni bog'lashga ruxsat bermaydi. Agar veb-server allaqachon barcha manzillarda TCP 443 ni ushlab turgan bo'lsa, OpenVPN nusxasi ham uni ataylab kelishuvsiz olib bera olmaydi.

VPN tinglovchisini boshqa portga yoki boshqa manzilga bog'lang, yoki oldiga hujjatlashtirilgan multipleksor qo'ying va u bilan keladigan operatsion xarajatni qabul qiling. Bu tanlovlarning har biri xavfsizlik devori qoidalarida ko'rinishi kerak, chunki hech kim hujjatlashtirmagan tinglovchi hodisa paytida o'tkazib yuboriladigan tinglovchidir. Tanlangan bog'lanishni tunnelni tasvirlaydigan o'sha runbookka yozing. Shunda keyingi odam uni tunda ikkida qaytadan kashf etmaydi.

Sertifikatlar o'zlari himoya qiladigan ulanishga ergashadi

Brauzerning Cloudflare ga TLS ulanishi va Cloudflare ning sizning manbangizga ulanishi ikki alohida sertifikatga ega ikki alohida munosabatdir. Brauzer chekka sertifikatni ko'radi. Manba o'z sertifikatini Cloudflare ga taqdim etadi, va Cloudflare Origin CA sertifikati aynan o'sha ikkinchi munosabat uchun mo'ljallangan.

Bu manba sertifikatiga Cloudflare Full (strict) rejimida ishonadi va u umuman ishonchli brauzer sertifikati emas. Agar kimdir faqat DNS xost nomiga to'g'ridan-to'g'ri kirsa va ogohlantirish olsa, bu o'zgargan ishonch yo'lining kutilgan natijasi, shifrlash to'xtaganining dalili emas.

Shuning uchun to'g'ridan-to'g'ri tashrif buyuriladigan veb-sayt o'z brauzerlari ishonadigan sertifikatlar zanjiriga muhtoj. Bu manbasi umuman tashrif buyurish uchun mo'ljallanmagan proksilangan sayt bilan birga mavjud bo'lishi mumkin.

OpenVPN o'z server identifikatorini va mijoz autentifikatsiyasini o'z sertifikat organi va o'z boshqaruv kanali himoyasi bilan olib yuradi. Saytdagi qulf bularning hech birini bermaydi, va ikki tayyorlash jarayoni alohida qolishi kerak.

Ta'sir nomga ergashadi

Faqat DNS VPN yozuvi o'zi ko'rsatgan manzilni e'lon qiladi. Agar bu manzil veb-manba ham bo'lsa, manba yashirin emas, va uni boshqa nom proksilanganligi sababli yashirin deb ta'riflash — kimdir uni skanerlagunga qadar davom etadigan xato.

Qaysi veb-so'rovlar manbaga to'g'ridan-to'g'ri yetib borishini hal qiling va buni manbada qo'llang, so'ng VPN tinglovchisiga o'z shartlari bilan ruxsat bering. Boshqaruv sahifalari, profil yuklab olishlar va ma'lumot tinglovchisi bitta paket uchtasini taqdim etsa ham uch xil ta'sir talabiga ega bo'lishi mumkin.

Yaratilgan havolalarni ommaviy veb nomi va HTTPS sxemasida saqlang, mijoz profillarini esa VPN nomida haqiqiy protokol va port bilan saqlang. Oddiy ish paytida ikkala xizmatdan hech biri ikkinchisining proksi sozlamasini aylantirishga bog'liq bo'lmasligi kerak.

Ish tartibi: sayt uchun proksilangan nom, VPN uchun faqat DNS nom, alohida tinglovchilar, har bir munosabat uchun sertifikat, so'ng har bir nom faqat o'zi borishi kerak bo'lgan xizmatga yetib borishini isbotlaydigan bitta test.