تشغيل خادمك خلف بروكسي عكسي
الشبكة التي تحظر عنوان IP الخاص بخادمك لا يمكنها منع التطبيقات التي لا تتصل به مباشرة. عند استخدام بروكسي عكسي مثل Cloudflare، تتصل التطبيقات بالبروكسي أولاً، والذي يتولى بدوره تمرير الاتصال إلى خادمك.
كيف يعمل؟
يشير نطاقك إلى البروكسي بدلاً من خادمك مباشرة. تبحث التطبيقات عن النطاق وتتصل بالبروكسي، الذي يفك تشفير الاتصال كما يفعل مع أي موقع يستضيفه، ثم يعيد تشفيره باتجاه خادمك. تمر حركة المرور عبر WebSocket الذي تدعمه Cloudflare وتمرره. كما يمكنك استخدام أي بروكسي عكسي آخر طالما أنه يدعم تمرير WebSocket ويتصل بخادمك عبر TLS.
لا تبحث التطبيقات عن النطاق إلا إذا كان المفتاح يتضمنه كاسم موثوق، وهو ما يتطلب شهادة معتمدة من جهة إصدار الشهادات (CA).
يمكن أن يتضمن المفتاح أيضاً عنوان خادمك المباشر. في هذه الحالة، تتصل التطبيقات بأي من الطريقتين: يضمن البروكسي استمرار الاتصال إذا تم حظر العنوان، ولكن يمكن لأي شخص يملك المفتاح معرفة العنوان المباشر. أما المفتاح الذي لا يحتوي على عنوان خادمك، فيجبر جميع التطبيقات على المرور عبر البروكسي دائماً.
نقاط مهمة يجب مراعاتها
- الحجب: لا يزال بإمكان الشبكة حجب عناوين البروكسي العكسي أو نطاقك. مع ذلك، تخدم عناوين Cloudflare العديد من المواقع الأخرى، لذا فإن حجبها أمر مكلف وصعب.
- DNS: تبحث التطبيقات عن نطاقك عبر DNS الخاص بالشبكة قبل الاتصال. إذا قامت الشبكة بحجب الاستجابة أو تزييفها، تعود التطبيقات إلى العناوين الموجودة في مفتاحها، لذا يتعذر اتصال المفتاح الذي يحتوي على النطاق فقط.
- الخصوصية: يرى البروكسي العكسي ما بداخل النفق تماماً كما يفعل خادمك: وجهات اتصال المستخدمين وأي بيانات غير مشفرة يرسلونها. تظل حركة مرور HTTPS مشفرة بالكامل. استخدم دائماً بروكسي عكسي تثق به.
- بروتوكول TCP فقط: لا يتيح خادمك منافذ UDP وQUIC للتطبيقات المتصلة عبر البروكسي.
- شروط الخدمة: تأكد من أن شروط مزود الخدمة تسمح بمرور حركة مرور VPN. الاستخدام مع مجموعات صغيرة، نحو 50 مستخدماً أو أقل، يكون مسموحاً به عادةً.
قبل أن تبدأ
- نطاق أو نطاق فرعي مزوّد بشهادة من جهة إصدار شهادات معتمدة على خادمك: يوضح دليل استخدام اسم نطاق وشهادة موثوقة كيفية القيام بذلك. نفّذ هذه الخطوة أولاً بينما يشير سجل النطاق مباشرةً إلى الخادم.
- خادم واحد فقط خلف النطاق. قد تؤدي السجلات التي تشير إلى خادمين إلى توزيع اتصالات الجلسة الواحدة بينهما، مما يتسبب في انقطاعها.
- أن يستمع الخادم على منفذ TCP
443، أو على منفذ آخر يمرره البروكسي. تمرر Cloudflare حركة مرور HTTPS عبر443, 2053, 2083, 2087, 2096, 8443فقط.
تفعيل البروكسي
- في Cloudflare، افتح سجلات DNS الخاصة بنطاقك واضبط السجل الذي يشير إلى خادمك على Proxied، وافعل الشيء نفسه مع سجل AAAA إن وُجد.
- ضمن SSL/TLS، اضبط وضع التشفير على Full (strict). ستتصل Cloudflare حينها بخادمك عبر TLS وتتحقق من شهادته. في وضع Flexible ستستخدم بروتوكول HTTP العادي، وهو ما لا يقبله الخادم.
يجدد VpnHood! MANAGER شهاداته عبر HTTP العادي على منفذ TCP 80 عبر النطاق، وتقوم Cloudflare بتمريره إلى خادمك. على الخادم المُدار، اترك Always Use HTTPS معطلاً، حيث تؤدي إعادة التوجيه إلى HTTPS إلى فشل التجديد.
على خادم مُدار
تحقق من شهادة النطاق في المزرعة: يجب أن تظهر الحالة CA Signed تحت Signature، وأن تكون قيمة Visibility هي PublicInToken. ستحمل المفاتيح حينها اسم النطاق، وستتعرف عليه التطبيقات.
لتوجيه كافة التطبيقات عبر البروكسي، احذف عناوين الخادم المباشرة من المفاتيح عبر Access Points في الخادم:
- عطّل Automatic Configuration.
- عدّل كل عنوان، واضبط Mode على Private.
- اترك خيار Listen مضبوطاً على Yes ليواصل الخادم الاستماع، حيث لا يزال البروكسي يتصل به.
يتيح MANAGER إنشاء مفاتيح بدون عنوان فقط عندما تظهر الشهادة بالحالة CA Signed. يوضح قسم تعيين عناوين IP لخادمك تفاصيل كل إعداد.
عند ضبط الإعداد على PublicInToken، تظل العناوين داخل المفاتيح، وتستخدمها التطبيقات بجانب الوكيل. يضمن الوكيل حينها استمرار اتصال المستخدمين حتى لو حُظر أحد العناوين.
تحصل التطبيقات التي تستخدم مفاتيح قديمة على المفتاح الجديد تلقائيًا عند الاتصال التالي، حيث يتم تفعيل خيار Push token to clients افتراضيًا.
يشير النطاق إلى خادم واحد فقط؛ لذا عند استخدام مجموعة خوادم، فإن جميع التطبيقات المتصلة عبر الوكيل تصل إلى نفس الخادم.
على خادم مستقل
تأكد من استخدام الخادم لشهادة النطاق، مع ضبط IsValidHostName على true: يشرح مقال استخدام اسم نطاق وشهادة موثوقة كيفية إجراء ذلك. ستحمل المفاتيح المنشأة بعد ذلك اسم النطاق لتبحث التطبيقات عنه.
يُدرج الخادم المستقل دائمًا عناوينه الخاصة في المفاتيح إلى جانب اسم النطاق، مما يتيح للتطبيقات استخدامها والوكيل معًا. يحافظ الوكيل على اتصال المستخدمين في حال حظر أي عنوان، لكن يمكن لأي شخص يملك المفتاح معرفة العنوان.
