Выдзелены IP VPN не публікуе ваш сайт
Выдзелены адрас выхаду нічога не кажа пра ўваходную дастаўку. Праверце дамову перанакіравання, скончыце бок крыніцы, а затым апублікуйце высокі порт.
Купля выдзеленага IP у пастаўшчыка VPN падобная да куплі ўваходных дзвярэй. Адрас стабільны, тунель падняты, а сайт усё яшчэ не адкрываецца нікому звонку. Тое, што вы купілі, — гэта прызначэнне адраса, а не правіла ўваходнага перанакіравання. І тое і другое прадаецца ў адной краме і наладжваецца ў цалкам розных месцах.
Адрас — гэта прызначэнне, а не правіла перанакіравання
Запішыце ўваходны публічны адрас або імя хоста, дазволены транспарт, прызначаны знешні порт і кліенцкую мэту, куды дастаўляе пастаўшчык. Затым пераканайцеся, што сервер, пратакол і функцыя ўліковага запісу, якія вы выбралі, сапраўды падтрымліваюць перанакіраванне і што пастаўшчык дазваляе размяшчэнне на ім.
Слова «выдзелены» апісвае прызначэнне адраса. Яно не азначае, што незапатрабаваны ўваходны трафік дазволены, і розныя дадаткі аднаго аператара могуць мець розныя магчымасці. Выдзелены адрас і прадукт «выдзелены сервер» — гэта два ярлыкі, якія блытаюць часцей за ўсё, і старонкі падтрымкі звычайна ўдакладняюць, які з іх перанакіроўвае.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Прыклад дамовы выглядае так: пастаўшчык дастаўляе TCP 203.0.113.60:45000 на HTTPS-сэрвіс вашай падключанай прылады праз порт 8443. Гэта апісанне супастаўлення, якое наладзіў хтосьці іншы, а не правіла, якое вы можаце стварыць на іх краі, надрукаваўшы яго ў сваім фаеры.
Скончыце бок крыніцы
Калі вэб-праграма працуе на самім кліенце VPN, ёй патрэбен слухач на дастаўленым порце і абмежаваны дазвол на лакальны ўваход для гэтага порта. Калі кліент перанакіроўвае супастаўленае злучэнне на іншы хост, яму патрэбны пераклад мэты, палітыка перанакіравання і шлях адказу, які вытрымлівае зваротны шлях.
Будуйце правілы доступу вакол адраса крыніцы, які фактычна прадстаўляе шлях пастаўшчыка. Гэта не заўсёды першапачатковы наведвальнік і не заўсёды сервер VPN, што важна, калі вы пішаце правіла, якому адпавядаў бы толькі адзін з гэтых адрасоў.
Пераклад порта таксама не ператварае HTTP у HTTPS. Публічны порт і лакальны порт праграмы могуць свабодна адрознівацца, але схема, ідэнтычнасць сертыфіката і перанакіраванні ўсё яшчэ павінны адпавядаць сэрвісу, да якога людзі фактычна дабіраюцца. Калі сертыфікат называе публічны хост, трымайце гэта імя на кожным кроку. Неадпаведнасць тут выглядае як папярэджанне браўзера, а не як збой маршрутызацыі, і гэта адпраўляе людзей у няправільныя часопісы на цэлую гадзіну.
Публікуйце высокі порт сумленна
Калі наведвальнікі падключаюцца наўпрост і пастаўшчык прызначыў высокі порт, дайце ім поўны URL. Звычайны запіс адраса DNS не можа дадаць порт да запыту HTTPS, які па змаўчанні выкарыстоўвае 443, і ніякае ўздоўжванне TTL гэтага не зменіць.
Вэб-франтэнд можа вырашыць гэта, прымаючы наведвальнікаў на звычайным порце і ствараючы ўласнае злучэнне з перанакіраваным портам крыніцы. Але праксі-парты Cloudflare па змаўчанні — гэта вызначаны спіс, і адвольны прызначаны порт не становіцца падтрыманым портам ускрайку толькі таму, што вы дадалі праксі-запіс DNS.
Змена порта прызначэння крыніцы — гэта іншая аперацыя, чым змена порта наведвальніка. Origin Rules ад Cloudflare дакументуе перавызначэнне порта прызначэння для злучэння з бэкендам, абмежаванае падтрыманым правілам, схемай і імем хоста. Перавызначэнне порта не з'яўляецца ўніверсальным рэле для адвольнага UDP ці іншых пратаколаў.
Калі франтэнд завяршае TLS, праверце абодва крокі: сертыфікат ад браўзера да франтэнда і злучэнне ад франтэнда да крыніцы. Крок VPN не замяняе ні адну з дзвюх праверак, а ўцечка ўнутранага адраса ў перанакіраванні або кукі — звычайная прыкмета таго, што толькі адзін з двух быў наладжаны з улікам публічнага імя.
Трымайце супастаўленне жывым
Некаторыя пастаўшчыкі выдзяляюць іншы порт пасля перападключэння, і арандаванае супастаўленне можа патрабаваць абнаўлення праз дзеянне на баку пастаўшчыка. Сачыце за механізмам, які дакументуе ваш пастаўшчык, і абнаўляйце слухач, лакальныя правілы, DNS або правіла франтэнда толькі там, дзе гэтага патрабуе бягучая дамова.
Статычны публічны адрас не робіць арэнду порта статычнай. Адрас і порт, якія ўсё яшчэ паказаны ў панэлі, не даказваюць, што жывая сесія валодае супастаўленнем, таму тэстам з'яўляецца свежы запыт звонку, а не здымак экрана.
Затым паўтарыце выпадкі, якія чакаеце: звычайнае перападключэнне і страту VPN. Калі страта павінна рабіць крыніцу недаступнай, не дазваляйце абнаўляльніку ціха зноў публікаваць прамы шлях ISP у фоне. І калі дамова перанакіравання не можа задаволіць патрабаванні сайта да стабільнасці, выберыце іншую схему публікацыі замест таго, каб купляць чарговы ярлык адраса і спадзявацца, што ён паводзіць сябе як сервер.