Dedikovaná IP adresa VPN vaše stránky nezveřejní
Dedikovaná výstupní adresa nic neříká o doručování příchozích spojení. Zkontrolujte smlouvu o přesměrování, dokončete stranu původu a pak zveřejněte vysoký port.
Koupě dedikované IP adresy od poskytovatele VPN vypadá jako koupě vstupních dveří. Adresa je stabilní, tunel běží, a stránka se přesto nikomu zvenčí nenačte. To, co jste koupili, je přidělení adresy, ne pravidlo pro příchozí přesměrování. Obojí se prodává ve stejném obchodě a konfiguruje na úplně jiných místech.
Adresa je přidělení, ne pravidlo přesměrování
Zaznamenejte příchozí veřejnou adresu nebo název hostitele, povolený transport, přidělený externí port a cílové místo na straně klienta, kam poskytovatel doručuje. Potom ověřte, že zvolený server, protokol a funkce účtu přesměrování skutečně podporují a že poskytovatel na něm povoluje hosting.
Slovo dedikovaná popisuje přidělení adresy. Neznamená, že je povolen nevyžádaný příchozí provoz, a různé doplňky od stejného operátora mohou mít různé možnosti. Dedikovaná adresa a produkt dedikovaný server jsou dva štítky, které si lidé nejčastěji pletou, a stránky podpory obvykle upřesňují, který z nich přesměrovává.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Ilustrativní smlouva vypadá takto: poskytovatel doručuje TCP 203.0.113.60:45000 službě HTTPS vašeho připojeného zařízení na port 8443. To je popis mapování, které nastavil někdo jiný, ne pravidlo, které můžete vytvořit na jejich hraně napsáním do vlastního firewallu.
Dokončete stranu původu
Pokud webová aplikace běží přímo na klientu VPN, potřebuje naslouchací proces na doručeném portu a omezené oprávnění pro lokální vstup na tento port. Pokud klient přesměrovává mapované spojení na jiný hostitel, potřebuje překlad cíle, politiku přesměrování a cestu odpovědi, která vydrží obě směry.
Pravidla přístupu navrhujte podle zdrojové adresy, kterou cesta poskytovatele skutečně předkládá. Ne vždy je to původní návštěvník a ne vždy je to server VPN, což je důležité, když píšete pravidlo, kterému by odpovídala jen jedna z těchto adres.
Překlad portů také nepřevádí HTTP na HTTPS. Veřejný port a lokální port aplikace se mohou libovolně lišit, ale schéma, identita certifikátu a přesměrování musí stále odpovídat službě, na kterou lidé skutečně dosahují. Pokud certifikát uvádí veřejného hostitele, zachovejte to jméno v každém kroku. Nesoulad se zde projeví jako varování prohlížeče, ne jako selhání směrování, což lidi pošle na hodinu ke špatným logům.
Zveřejněte vysoký port poctivě
Pokud se návštěvníci připojují přímo a poskytovatel přidělil vysoký port, dejte jim celou URL. Běžný DNS záznam adresy nemůže k požadavku HTTPS, který ve výchozím nastavení používá 443, přidat port, a žádné ladění TTL to nezmění.
Webový frontend to může vyřešit tím, že přijímá návštěvníky na obvyklém portu a vytváří vlastní spojení na přesměrovaný port původu. Výchozí proxy porty Cloudflare jsou však definovaný seznam a libovolně přidělený port se nestane podporovaným hraničním portem jen proto, že jste přidali proxy DNS záznam.
Změna cílového portu původu je jiná operace než změna portu návštěvníka. Origin Rules od Cloudflare dokumentují přepsání cílového portu pro spojení s backendem, omezené na podporované pravidlo, schéma a název hostitele. Přepsání portu není univerzální relé pro libovolný UDP ani jiné protokoly.
Když frontend ukončuje TLS, ověřte oba kroky: certifikát z prohlížeče do frontendu a spojení z frontendu do původu. Krok VPN nenahrazuje ani jednu z těchto kontrol a únik interní adresy do přesměrování nebo cookies je obvyklým znakem toho, že jen jeden z obou byl nastaven s ohledem na veřejné jméno.
Udržte mapování živé
Někteří poskytovatelé přidělují po opětovném připojení jiný port a pronajaté mapování může vyžadovat obnovení akcí na straně poskytovatele. Sledujte mechanismus, který váš poskytovatel dokumentuje, a aktualizujte naslouchací proces, lokální pravidla, DNS nebo pravidlo frontendu jen tam, kde to aktuální smlouva vyžaduje.
Statická veřejná adresa nedělá pronájem portu statickým. Adresa a port stále zobrazené v panelu nejsou důkazem, že živá relace mapování vlastní, a proto je testem nový požadavek zvenčí, ne snímek obrazovky.
Potom zopakujte případy, které očekáváte: běžné opětovné připojení a výpadek VPN. Pokud má výpadek učinit původ nedostupným, nedovolte aktualizátoru tiše znovu publikovat přímou cestu ISP na pozadí. A pokud smlouva o přesměrování nemůže splnit požadavky stránky na stabilitu, zvolte jiné uspořádání publikace, místo abyste kupovali další štítek adresy a doufali, že se bude chovat jako server.