Pam mae eich URL angen mynediad ar borth 80 neu 443, nid 45000

Teipiwch enw gwesteiwr mewn porwr a’r cynllun sy’n penderfynu’r porth cyrchfan: 80 ar gyfer http, 443 ar gyfer https. Nid oes dim mewn ateb DNS yn diystyru hynny, ac ni all unrhyw reol ddargyfeirio ar eich peiriant ddyfeisio gwrandawr ar ymyl eich darparwr. Pan fydd darparwr VPN yn rhoi porth cyhoeddus uchel fel 45000 i chi, mae URL benodol yn gweithio ac nid yw un lân yn gweithio. Mae’r bwlch wrth y pwynt mynediad, nid y tu mewn i’r rhaglen.

Cerddwch y llwybr o’r porwr i’r broses unwaith, a bydd y tri opsiwn cyhoeddi yn peidio â bod yn ddirgel.

Edrychwch i ble mae’r cais yn mynd mewn gwirionedd

Mae’r porwr yn datrys yr enw i gyfeiriad, yna’n cysylltu â’r cyfeiriad hwnnw ar borth diofyn y cynllun oni bai bod yr URL yn enwi un arall. Eich ymyl chi sy’n penderfynu beth sy’n digwydd i’r cysylltiad sy’n cyrraedd. Os yw ei dabl anfon yn mapio 45000 yn unig i’ch cyfeiriad mewnol, nid oes i gysylltiad â 80 unrhyw le i fynd ac fe’i gwrthodir neu fe’i gollyngir cyn i’ch peiriant gael ei gynnwys.

Mae’r gwrthodiad hwnnw’n digwydd ar yr ymyl, a dyna pam nad yw logiau eich rhaglen yn dangos dim o gwbl. Mae absenoldeb logiau yn dystiolaeth am ble y stopiodd y pecyn, nid yn dystiolaeth bod y rhaglen wedi torri.

Pam na all rheol leol drwsio’r ymyl

Mae ailgyfeiriad neu reol DNAT ar westeiwr y rhaglen yn gweithredu ar becynnau sydd eisoes wedi cyrraedd. Nid yw pecynnau a anfonir i borth 80 gan y darparwr byth yn cyrraedd, felly ni werthusiir y rheol byth. Dyma’r awr fwyaf cyffredin o wastraff yn y broblem gyfan.

Ni all DNS gludo’r porth chwaith. Mae manyleb HTTP yn diffinio diofynion y cynllun, ac mae cofnod A neu AAAA yn dychwelyd cyfeiriad tra bod CNAME yn dychwelyd enw arall. Mae’r porwr yn dal i gydgysylltu porth y cynllun, felly dim ond porth benodol yn yr URL sy’n newid y gyrchfan.

Opsiwn un: cadw’r porth penodol

Yn aml yr ateb cywir yw’r un dirodres. Cyhoeddwch yr URL llawn gyda’r porth, terfynwch TLS ar fynediad sy’n ei gefnogi, a gwnewch yn siŵr bod pob dolen a gynhyrchir yn cadw’r un tarddiad. Ar gyfer cynulleidfa fach, reoledig mae hyn yn gyflawn, ac nid yw’n costio dim y tu hwnt i rif porth gweladwy.

Gwiriwch ailgyfeiriadau a chwmpas cwcis tra byddwch yno, oherwydd mae backend sy’n ysgrifennu ei enw gwesteiwr ei hun i bennawd Location yn dad-wneud y trefniant.

Opsiwn dau: cael mynediad go iawn ar y porth diofyn

Mae rhai darparwyr a threfniadau lletya yn cyfeirio 80 a 443 ar gyfeiriad a rennir neu bwrpasol fel gwasanaeth wedi’i ddogfennu. Gofynnwch beth sydd mewn gwirionedd wedi’i gynnwys yn lle tybio bod cyfeiriad allan cyhoeddus yn awgrymu portau i mewn mympwyol. Nid yw cyfeiriad allan pwrpasol yn dweud dim am anfon i mewn.

Cadarnhewch berchnogaeth ac argaeledd yn ysgrifenedig, gan gynnwys beth sy’n digwydd i’r mynediad pan fydd y twnnel yn ailgysylltu â chyfeiriad gwahanol. Mae mynediad sy’n symud gyda’r twnnel yn cynhyrchu toriadau sy’n edrych fel methiannau DNS.

Opsiwn tri: rhoi frontend o’r blaen

Gall proxy gwrthdro ar gyfeiriad y gellir ei gyrraedd gwrando ar 443 a therfynu TLS, ac agor cysylltiad ar wahân i’r backend dros y VPN. Mae ymwelwyr yn gweld enw a phorth diofyn y frontend, tra bod y frontend yn siarad â phorth uchel y backend ar eich rhan. Mae hyn yn gweithio oherwydd ei fod yn newid y bensaernïaeth yn lle ymladd â’r pwynt mynediad. Yna nid oes angen unrhyw borth i mewn ar y backend ar y rhyngrwyd cyhoeddus o gwbl.

Mae hefyd yn newid yr hyn rydych yn ei weithredu. Y frontend sy’n berchen ar TLS cyhoeddus, polisi mynediad, logiau ac argaeledd, ac mae’n rhaid iddo gyfyngu dewis y backend i’r gwasanaeth a fwriedir. Os yw’r naid o’r frontend i’r backend yn defnyddio HTTPS, cadwch ddilysu tystysgrif ar y naid honno.

Cadwch un tarddiad

Mae enw gwesteiwr cyhoeddus, cynllun a phorth y frontend yn ffurfio’r tarddiad y mae ymwelwyr yn ei ddefnyddio, felly ffurfweddwch URL allanol y rhaglen, ailgyfeiriadau a chwcis ar gyfer y tarddiad hwnnw. Anfonwch y gwesteiwr gwreiddiol a’r cynllun a anfonwyd ymlaen os yw’r rhaglen yn adeiladu dolenni absoliwt. Mae ymateb sy’n bownsio defnyddwyr i enw preifat neu borth uchel yn dad-wneud y fynediad lân rydych newydd ei hadeiladu.

Yna penderfynwch gan gadw’r gynulleidfa mewn golwg. Gall URL fer gyfiawnhau frontend a reolir, ac nid yw’n werth troi gwasanaeth preifat ar gyfer VPN yn un cyhoeddus ar ddamwain.