Una IP VPN dedicada no publica el teu lloc web
Una adreça de sortida dedicada no diu res sobre el lliurament entrant. Comprova el contracte de reenviament, completa la banda d’origen i publica un port alt.
Comprar una IP dedicada a un proveïdor de VPN és com comprar una porta d’entrada. L’adreça és estable, el túnel està aixecat i, tot i així, el lloc no carrega per a ningú de fora. El que has comprat és una assignació, no una regla de reenviament entrant. Totes dues coses es venen a la mateixa botiga i es configuren en llocs completament diferents.
L’adreça és una assignació, no una regla de reenviament
Anota l’adreça pública entrant o el nom d’amfitrió, el transport permès, el port extern assignat i la destinació del costat client a la qual el proveïdor lliura. Després confirma que el servidor, el protocol i la funció de compte que has triat realment admeten reenviament, i que el proveïdor permet allotjar-hi.
Dedicada descriu l’assignació d’adreça. No vol dir que es permeti trànsit entrant no sol·licitat, i diferents complements del mateix operador poden tenir capacitats diferents. L’adreça dedicada i el producte de servidor dedicat són les dues etiquetes que més es confonen, i les pàgines d’ajuda solen aclarir quina reenvia.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Un contracte il·lustratiu és així: el proveïdor lliura TCP 203.0.113.60:45000 al servei HTTPS del teu dispositiu connectat al port 8443. Això descriu una assignació que algú altre ha configurat, no una regla que puguis crear a la seva vora escrivint-la al teu propi tallafocs.
Completa la banda d’origen
Si l’aplicació web s’executa al mateix client VPN, necessita un oient al port lliurat i un permís d’entrada local limitat per a aquest port. Si el client reenvia la connexió assignada a un altre amfitrió, necessita la traducció de destinació, la política de reenviament i un camí de resposta que sobrevisqui a l’anada i tornada.
Dissenya les regles d’accés al voltant de l’adreça d’origen que el camí del proveïdor presenta realment. No sempre és el visitant original, i tampoc no sempre és el servidor VPN, cosa que importa quan escrius una regla que només coincidiria amb una d’aquestes adreces.
La traducció de ports tampoc no converteix HTTP en HTTPS. El port públic i el port local de l’aplicació poden diferir lliurement, però l’esquema, la identitat del certificat i les redireccions encara han de coincidir amb el servei que la gent realment assoleix. Si el certificat nomena l’amfitrió públic, mantén aquest nom a cada salt. Una discrepància aquí apareix com un avís del navegador i no com un error d’encaminament, cosa que envia la gent als registres equivocats durant una hora.
Publica el port alt amb honestedat
Si els visitants es connecten directament i el proveïdor ha assignat un port alt, dona’ls l’URL completa. Un registre d’adreça DNS normal no pot afegir un port a una petició HTTPS que per defecte usa 443, i cap retoc del TTL ho canvia.
Un frontal web pot resoldre-ho acceptant visitants al port habitual i fent la seva pròpia connexió al port d’origen reenviat. Tanmateix, els ports intermediaris per defecte de Cloudflare són una llista definida, i un port assignat arbitrari no es converteix en un port de vora admès només perquè hagis afegit un registre DNS intermediat.
Canviar el port de destinació de l’origen és una operació diferent de canviar el port del visitant. Les Origin Rules de Cloudflare documenten una substitució del port de destinació per a la connexió del backend, limitada a una regla, un esquema i un nom d’amfitrió admesos. Una substitució de port no és un relay genèric per a UDP arbitrari ni per a altres protocols.
Quan un frontal acaba TLS, valida tots dos salts: el certificat del navegador al frontal i la connexió del frontal a l’origen. El salt VPN no substitueix cap de les dues comprovacions, i que una adreça interna es filtri a redireccions o galetes és el senyal habitual que només una de les dues es va configurar pensant en el nom públic.
Mantén l’assignació viva
Alguns proveïdors assignen un port diferent després d’una reconnexió, i una assignació llogada pot requerir renovació mitjançant una acció del proveïdor. Segueix el mecanisme que documenta el teu proveïdor i actualitza l’oient, les regles locals, el DNS o la regla del frontal només on el contracte actual ho exigeixi.
Una adreça pública estàtica no fa estàtic el lloguer del port. Una adreça i un port que encara es mostren en un tauler no són prova que la sessió activa posseeixi l’assignació, i per això la prova és una petició nova des de fora i no una captura de pantalla.
Després repeteix els casos que esperes: una reconnexió normal i una pèrdua de VPN. Si la pèrdua ha de fer l’origen inaccessible, no deixis que un actualitzador torni a publicar en silenci un camí directe de l’ISP en segon pla. I si el contracte de reenviament no pot complir els requisits d’estabilitat del lloc, tria una altra disposició de publicació en lloc de comprar una altra etiqueta d’adreça i esperar que es comporti com un servidor.