Ваш гульнявы сервер у VPN, і ніхто не можа далучыцца
Тунэль — гэта не шлях для ўваходу. Выберыце ўваход, якім карыстаюцца гульцы, і забяспечце, каб адказ вяртаўся тым жа шляхам, перш чым кранаць адрас прывязкі.
Сервер працуе, VPN падключаны, і ніхто звонку не можа далучыцца. Усе ўнутры тунэля могуць, і гэта стварае ўражанне правіла доступу. Бракуе не дазволу, а шляху: адраса і порта, да якіх гульцы могуць дабрацца, і маршруту, па якім адказы вернуцца тым жа шляхам. Адрас выхаду VPN не з'яўляецца функцыяй хастынгу для ўваходу.
Чатыры спосабы, якімі гульцы могуць дабрацца да сервера
Сапраўдны выбар — хто ваша аўдыторыя і як уваходзяць яе пакеты, і варта назваць чатыры формы.
| Design | Who can join | What it costs |
|---|---|---|
| Private VPN players | Only members of the tunnel | Every player needs a profile and identity |
| Provider public mapping | Anyone with the assigned address and port | Depends on supported protocol and mapping lifetime |
| Your own public relay | Anyone who can reach the relay | You run and secure the relay |
| Deliberate direct entry | Anyone who can reach your line | Split routing has to stay coherent |
Прыватная схема самая простая і самая нязручная: дазволеныя гульцы далучаюцца да абмежаванай сеткі і дабіраюцца да гульні па яе прыватным адрасе. Дайце ім доступ да гульнявога сэрвісу, а не агульную ідэнтычнасць, якая можа блукаць па ўсіх хастах, якімі вы валодаеце.
Схему з рэтранслятарам недаацэньваюць. Даступны шлюз прымае публічны трафік і перадае яго праз прыватны тунэль да хоста, таму гульцы ніколі не далучаюцца да задняга VPN. Рэтранслятар павінен несці транспарт гульні, а HTTP-проксі не з'яўляецца ўніверсальным UDP-рэтранслятарам.
Сачыце за адказам гэтак жа ўважліва, як за прыходам
Для любога перакладзенага ўваходу запішыце чатыры рэчы: знешні адрас, пратакол, порт і ўнутраную мэту. даведка па перанакіраванні партоў паказвае розніцу, на якой людзі спатыкаюцца, аддзяляючы трансляцыю прызначэння ад правіла фаервала, якое дазваляе трафіку ісці далей. Наладзьце адно без другога — і атрымаеце адлюстраванне, якое выглядае правільным і нічога не прапускае.
Затым праверце вяртанне. Перанакіраваны запыт можа прыйсці бездакорна і пацярпець няўдачу, бо хост адказвае праз іншы выхад. Рэтранслятар можа трансляваць крыніцу для задняга патоку або захаваць крыніцу і спадзявацца на маршрутызацыю; гэта розныя схемы, і яны змяняюць тое, што хост гульні бачыць як адрас гульца.
Шыфраванне не ратуе зламаны зваротны шлях. Яно абараняе сегмент, а не тапалогію.
Што тунэль не робіць прыватным
Аўтэнтыфікацыя гульні, абнаўленні і палітыка допуску па-ранейшаму выконваюць сваю працу. Прыватны задні тунэль не робіць наўмысна публічны ўваход прыватным і зусім не шыфруе ўчастак ад гульца да публічнага ўваходу. Гэта два розныя скачкі з двума рознымі ўздзеяннямі, і нататка пра схему, якая кажа, што гульня працуе праз VPN, апісвае роўна адзін з іх.
Запішыце, які ўчастак абаронены, а які не, перш чым абвяшчаць адрас каму-небудзь.
Выберыце аўдыторыю раней за адрас
Вызначце, хто павінен мець магчымасць далучыцца, і абярыце адпаведную схему. Толькі сябры — гэта прыватны тунэль або рэтранслятар са спісам дазволаў. Публічная супольнасць — гэта рэтранслятар або прамы ўваход з рэальным уздзеяннем, плюс мадэрацыя. Калі гэта вырашана, выкарыстоўвайце дакументаваныя парты гульні і яе паводзіны з абвешчаным адрасам унутры абранай схемы.
Не перастаўляйце VPN-адаптары, пакуль тэст не пройдзе. Гэта дае працоўны сервер з недакументаваным шляхам, які ніхто не зможа аднавіць пасля наступнага абнаўлення.
Тэст — гэта два гульцы, адзін унутры тунэля і адзін звонку, абодва завершаюць далучэнне і раунд трафіку. Меншае не даказвае, што ўваход працуе.