Отделен IP на VPN не публикува сайта ви
Отделен адрес за изход не казва нищо за входящата доставка. Проверете договора за препращане, завършете страната на източника и след това публикувайте висок порт.
Купуването на отделен IP от доставчик на VPN е като купуване на входна врата. Адресът е стабилен, тунелът е вдигнат, а сайтът все още не се зарежда за никого отвън. Това, което сте купили, е присвояване на адрес, а не правило за входящо препращане. Двете се продават в един и същ магазин и се настройват на напълно различни места.
Адресът е присвояване, а не правило за препращане
Запишете входящия публичен адрес или име на хост, разрешения транспорт, зададения външен порт и дестинацията от страна на клиента, към която доставчикът доставя. След това потвърдете, че сървърът, протоколът и функцията на акаунта, които сте избрали, наистина поддържат препращане и че доставчикът разрешава хостинг на него.
Думата отделен описва присвояването на адрес. Това не означава, че е разрешен непоискан входящ трафик, и различните добавки от един и същ оператор могат да имат различни възможности. Отделният адрес и продуктът отделен сървър са двете етикети, които хората най-често бъркат, а страниците за поддръжка обикновено уточняват кой от тях препраща.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Примерен договор изглежда така: доставчикът доставя TCP 203.0.113.60:45000 към HTTPS услугата на свързаното ви устройство на порт 8443. Това е описание на съпоставяне, което някой друг е настроил, а не правило, което можете да създадете на тяхната граница, като го въведете в собствената си защитна стена.
Завършете страната на източника
Ако уеб приложението работи на самия VPN клиент, то се нуждае от слушател на доставения порт и ограничено разрешение за локален вход за този порт. Ако клиентът препраща съпоставената връзка към друг хост, той се нуждае от транслация на дестинацията, политика за препращане и път за отговор, който издържа на двупосочното пътуване.
Проектирайте правилата за достъп около адреса на източника, който пътят на доставчика действително представя. Той не винаги е първоначалният посетител и не винаги е VPN сървърът, което има значение, когато пишете правило, на което би отговарял само един от тези адреси.
Транслацията на порт също не превръща HTTP в HTTPS. Публичният порт и локалният порт на приложението могат да се различават свободно, но схемата, идентичността на сертификата и пренасочванията все още трябва да съвпадат с услугата, до която хората действително достигат. Ако сертификатът посочва публичния хост, запазете го така на всяка стъпка. Несъответствието тук се проявява като предупреждение в браузъра, а не като отказ на маршрутизацията, което изпраща хората към грешните логове за час.
Публикувайте високия порт честно
Ако посетителите се свързват директно и доставчикът е задал висок порт, дайте им пълния URL. Обикновен DNS запис за адрес не може да добави порт към HTTPS заявка, която по подразбиране използва 443, и никакво настройване на TTL не променя това.
Уеб фронтенд може да реши това, като приема посетители на обичайния порт и прави собствена връзка към препратения порт на източника. Прокси портовете по подразбиране на Cloudflare обаче са определен списък и произволно зададен порт не става поддържан порт на границата, защото сте добавили проксиран DNS запис.
Промяната на порта на дестинацията на източника е различна операция от промяната на порта на посетителя. Origin Rules на Cloudflare документират замяна на порта на дестинацията за връзката с бекенда, ограничена до поддържано правило, схема и име на хост. Замяната на порт не е универсален релей за произволен UDP или други протоколи.
Когато фронтенд прекратява TLS, валидирайте и двете стъпки: сертификата от браузъра към фронтенда и връзката от фронтенда към източника. VPN стъпката не заменя нито една от двете проверки, а изтичането на вътрешен адрес в пренасочвания или бисквитки е обичайният признак, че само една от двете е настроена с мисъл за публичното име.
Поддържайте съпоставянето живо
Някои доставчици разпределят различен порт след повторно свързване и наетата съпоставка може да изисква подновяване чрез действие от страна на доставчика. Следете механизма, който вашият доставчик документира, и актуализирайте слушателя, локалните правила, DNS или правилото на фронтенда само там, където текущият договор го изисква.
Статичният публичен адрес не прави наема на порта статичен. Адрес и порт, които все още се показват в табло, не са доказателство, че живата сесия притежава съпоставката, затова тестът е свежа заявка отвън, а не екранна снимка.
След това повторете случаите, които очаквате: нормално повторно свързване и загуба на VPN. Ако загубата трябва да направи източника недостъпен, не позволявайте на програма за актуализация тихо да публикува отново директен ISP път на заден план. И ако договорът за препращане не може да покрие изискванията за стабилност на сайта, изберете друга схема за публикуване, вместо да купувате още един етикет за адрес и да се надявате, че ще се държи като сървър.