Un solo VPS, i tre prodotti della suite e tutti i percorsi che il traffico può prendere: diretto, dietro il proxy di Cloudflare, dentro un tunnel. Ogni prodotto mostra una cosa concreta, configurata dal suo pannello.
Sono i siti veri del laboratorio, non schermate. Ognuno spiega cosa fa e come verificarlo da te.
Un file HTML servito da nginx: certificato Let's Encrypt, redirect su HTTPS, header di sicurezza.
diretto php.selif.orgTre versioni di PHP sullo stesso server, 8.3, 8.4 e 8.5, ognuna con il suo pool isolato. Stessa pagina, eseguita da un PHP diverso.
diretto lb.selif.orgTre container dietro un solo nome. Il comando chiede 9 volte chi risponde e conta: circa 3 a testa.
for i in $(seq 9); do curl -s https://lb.selif.org/name; done | sort | uniq -cproxy Cloudflare cdn.selif.org
Dietro la nuvola arancione, eppure il server vede il tuo IP vero. La pagina ti invita a falsificarlo e mostra perché non funziona.
tunnel tunnel.selif.orgNessuna porta aperta: arriva da Cloudflare attraverso cloudflared, e nginx lo ascolta solo su 127.0.0.1.
uscita filtrata status.selif.orgUn monitor di uptime che può raggiungere solo i siti in elenco. Uno, blocked.selif.org, funziona ma è fuori elenco: lo vedi giù.
Funziona per te, ma il monitor non ci arriva: non è nell'elenco di Squid del suo sito. La pagina spiega come arx filtra l'uscita.
Una zona modificata in nomina su un server nascosto, servita al mondo da BuddyNS. Prova chi risponde, e che il server vero la zona non la dà a nessuno.
dig +short TXT hello.lab.selif.org dig +short NS lab.selif.org dig @49.13.148.35 lab.selif.org AXFR
Un Raspberry di casa, senza IP fisso, riscrive questo record ogni 5 minuti con nsupdate, firmato da una chiave TSIG che può cambiare solo lui. Guarda l'ora dell'ultimo aggiornamento.
dig +short TXT pi-heartbeat.lab.selif.org
Scrivi qui: apollo ti risponde da solo, una volta a settimana. Nella risposta apri l'originale (in Gmail ⋮ → Mostra originale): SPF, DKIM e DMARC pass, come per i grandi provider. Server e firma fatti con missus.
Prova a usare apollo per spedire a un altro dominio senza login: risponde 554 5.7.1 Relay access denied, niente open relay. Serve una rete che lasci uscire la porta 25 (molte di casa la bloccano). E i record che rendono la posta credibile, dal vivo.
swaks --server apollo.selif.org \ --from tu@gmail.com --to y@example.net dig +short MX lab.selif.org dig +short TXT missus._domainkey.lab.selif.org
Manda a hello@ una mail con dentro questa riga, la stringa di prova standard degli antispam: Rspamd la rifiuta con 554 5.7.1 Gtube pattern: Gmail ti rimanda l'avviso di mancata consegna, altri provider (Proton, per esempio) scartano il rifiuto senza avvisarti e la mail semplicemente non arriva.
XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X
Dietro un proxy o un tunnel, nginx vede l'IP di Cloudflare. arx sceglie per ogni sito di quale header fidarsi e da quali indirizzi. Un header accettato dalla fonte sbagliata permette a chiunque di falsificare i log e di far bannare IP innocenti.
| Modo | Come arriva il traffico | Di chi si fida nginx |
|---|---|---|
| direct | Dal visitatore, porta 443 pubblica | Di nessun header: l'IP è quello della connessione |
| cloudflare_proxy | Da Cloudflare, porta 443 pubblica | CF-Connecting-IP, solo dagli intervalli IP di Cloudflare, aggiornati da un timer |
| cloudflare_tunnel | Da cloudflared, solo su 127.0.0.1 | CF-Connecting-IP, solo da loopback |
| custom | Da un altro bilanciatore | Header e indirizzi scelti dall'admin |
Proxy e tunnel richiedono che la zona stia sul DNS di Cloudflare. Posta e siti diretti stanno invece su una seconda zona, servita da nomina tramite BuddyNS. Così il laboratorio prova anche il DNS autoritativo e non dipende da un solo fornitore.