Waarom jou URL ’n poort 80- of 443-inskrywing nodig het, nie 45000 nie

Tik ’n gasheernaam in ’n blaaier en die skema bepaal die bestemmingspoort: 80 vir http, 443 vir https. Niks in ’n DNS-antwoord oorskryf dit nie, en geen aanstuurreël op jou masjien kan ’n luisteraar by die verskaffer se rand uitdink nie. Wanneer ’n VPN-verskaffer vir jou ’n hoë publieke poort soos 45000 gee, werk ’n eksplisiete URL en ’n skoon een nie. Die gaping lê by die intreepunt, nie binne die toepassing nie.

Stap die pad van blaaier tot proses een keer, en die drie publikasie-opsies hou op om geheimsinnig te lyk.

Kyk waar die versoek werklik heen gaan

Die blaaier los die naam na ’n adres op en verbind dan met daardie adres op die skema se verstekpoort, tensy die URL ’n ander een noem. Jou verskaffer se rand besluit wat met die aankomende verbinding gebeur. As sy aanstuurtafel net 45000 na jou interne adres karteer, het ’n verbinding na 80 nêrens om heen te gaan nie en word dit geweier of laat vaar voordat jou masjien betrokke is.

Daardie weiering gebeur by die rand, en daarom wys jou toepassing se logs glad niks nie. Afwesigheid van logs is bewys van waar die pakket gestop het, nie bewys dat die toepassing stukkend is nie.

Waarom ’n plaaslike reël die rand nie kan regmaak nie

’n Herleiding of ’n DNAT-reël op die toepassingsgasheer werk op pakkette wat reeds aangekom het. Pakkette wat by die verskaffer na poort 80 gestuur word, kom nooit aan nie, so die reël word nooit geëvalueer nie. Dit is die mees algemene vermorste uur in die hele probleem.

DNS kan ook nie die poort dra nie. Die HTTP-spesifikasie definieer die skema se verstekke, en ’n A- of AAAA-rekord gee ’n adres terug terwyl ’n CNAME ’n ander naam teruggee. Die blaaier voeg steeds die skema se poort by, so net ’n eksplisiete poort in die URL verander die bestemming.

Opsie een: hou die eksplisiete poort

Dikwels is die korrekte antwoord die onglamoureuze een. Publiseer die volle URL met die poort, termineer TLS op ’n inskrywing wat dit ondersteun, en maak seker elke gegenereerde skakel hou dieselfde oorsprong. Vir ’n klein, beheerde gehoor is dit volledig, en dit kos niks behalwe ’n sigbare poortnommer nie.

Kyk ook na herleidings en koekiesbestek terwyl jy daar is, want ’n backend wat sy eie gasheernaam in ’n Location-opskrif skryf, maak die reëling ongedaan.

Opsie twee: kry ’n regte verstekpoort-inskrywing

Sommige verskaffers en gasheerreëlings stuur 80 en 443 op ’n gedeelde of toegewyde adres deur as ’n gedokumenteerde diens. Vra wat werklik ingesluit is in plaas daarvan om aan te neem dat ’n publieke uitgangsadres willekeurige inkomende poorte impliseer. ’n Toegewyde uitgaande adres sê niks oor inkomende aanstuur nie.

Bevestig eienaarskap en beskikbaarheid skriftelik, insluitend wat met die inskrywing gebeur wanneer die tonnel weer verbind met ’n ander adres. ’n Inskrywing wat saam met die tonnel beweeg, veroorsaak onderbrekings wat soos DNS-foute lyk.

Opsie drie: sit ’n frontend voor

’n Omgekeerde proxy op ’n bereikbare adres kan op 443 luister en TLS termineer, en ’n aparte verbinding na die backend oor die VPN oopmaak. Besoekers sien die frontend se naam en verstekpoort, terwyl die frontend namens jou met die backend se hoë poort praat. Dit werk omdat dit die argitektuur verander eerder as om die intreepunt te beveg. Die backend het dan glad geen inkomende poort op die publieke internet nodig nie.

Dit verander ook wat jy bedryf. Die frontend besit publieke TLS, toegangsbeleid, logs en beskikbaarheid, en dit moet backend-keuse tot die beoogde diens beperk. As die frontend-na-backend sprong HTTPS gebruik, hou sertifikaatvalidasie op daardie sprong aan.

Hou een oorsprong

Die frontend se publieke gasheernaam, skema en poort vorm die oorsprong wat besoekers gebruik, so stel die toepassing se eksterne URL, herleidings en koekies vir daardie oorsprong op. Stuur die oorspronklike gasheer en die doorgestuurde skema as die toepassing absolute skakels bou. ’n Respons wat gebruikers na ’n private naam of ’n hoë poort laat terugspring, maak die skoon inskrywing wat jy pas gebou het ongedaan.

Besluit dan met die gehoor in gedagte. ’n Kort URL kan ’n bestuurde frontend regverdig, en dit is nie die moeite werd om per ongeluk ’n private VPN-only diens in ’n publieke een te verander nie.