En dedikeret VPN-IP offentliggør ikke din hjemmeside
En dedikeret udgangsadresse siger intet om indgående levering. Kontroller videresendelseskontrakten, færdiggør oprindelsessiden, og offentliggør derefter en høj port.
At købe en dedikeret IP hos en VPN-udbyder føles som at købe en hoveddør. Adressen er stabil, tunnelen er oppe, og hjemmesiden indlæses stadig ikke for nogen udenfor. Det, du har købt, er en tildeling, ikke en regel for indgående videresendelse. De to sælges i samme butik og konfigureres helt forskellige steder.
Adressen er en tildeling, ikke en videresendelsesregel
Notér den indgående offentlige adresse eller værtsnavn, den tilladte transport, den tildelte eksterne port og den klientside-destination, som udbyderen leverer til. Bekræft derefter, at den server, protokol og kontofunktion, du valgte, faktisk understøtter videresendelse, og at udbyderen tillader hosting på den.
Dedikeret beskriver tildeling af adresse. Det betyder ikke, at uopfordret indgående trafik er tilladt, og forskellige tilføjelser fra samme operatør kan have forskellige muligheder. Den dedikerede adresse og produktet dedikeret server er de to mærkater, folk oftest blander sammen, og supportsiderne skriver som regel ud, hvilken der videresender.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
En illustrativ kontrakt ser sådan ud: udbyderen leverer TCP 203.0.113.60:45000 til din tilsluttede enheds HTTPS-tjeneste på port 8443. Det er en beskrivelse af en mapping, som en anden har konfigureret, ikke en regel, du kan oprette ved deres kant ved at skrive den ind i din egen firewall.
Færdiggør oprindelsessiden
Hvis webapplikationen kører på selve VPN-klienten, skal den have en lytter på den leverede port og en afgrænset tilladelse til lokalt input for den port. Hvis klienten videresender den mappede forbindelse til en anden vært, skal den have destinationsoversættelse, videresendelsespolitik og en svarvej, der holder hele vejen rundt.
Design adgangsregler ud fra den kildeadresse, som udbyderens vej faktisk præsenterer. Det er ikke altid den oprindelige besøgende, og det er heller ikke altid VPN-serveren, hvilket betyder noget, når du skriver en regel, som kun en af disse adresser ville matche.
Portoversættelse gør heller ikke HTTP til HTTPS. Den offentlige port og den lokale applikationsport kan frit være forskellige, men skema, certifikatidentitet og omdirigeringer skal stadig passe til den tjeneste, folk faktisk når. Hvis certifikatet nævner den offentlige vært, så hold det navn på hvert hop. Uoverensstemmelse her viser sig som en browseradvarsel i stedet for en routingfejl, hvilket sender folk til de forkerte logfiler i en time.
Offentliggør den høje port ærligt
Hvis besøgende forbinder direkte, og udbyderen tildelte en høj port, så giv dem den fulde URL. En almindelig DNS-adressepost kan ikke tilføje en port til en HTTPS-anmodning, der som standard bruger 443, og ingen TTL-justering ændrer det.
En webfrontend kan løse det ved at acceptere besøgende på den sædvanlige port og selv oprette forbindelse til den videresendte oprindelsesport. Cloudflares standard-proxyporte er dog en defineret liste, og en vilkårligt tildelt port bliver ikke en understøttet kantport, fordi du tilføjede en proxy-DNS-post.
At ændre oprindelsens destinationsport er en anden handling end at ændre besøgendes port. Cloudflares Origin Rules dokumenterer en tilsidesættelse af destinationsporten for backend-forbindelsen, afgrænset til en understøttet regel, skema og værtsnavn. En porttilsidesættelse er ikke et generelt relæ for vilkårlig UDP eller andre protokoller.
Når en frontend afslutter TLS, validér begge hop: certifikatet fra browser til frontend og forbindelsen fra frontend til oprindelse. VPN-hoppet erstatter ingen af de to kontroller, og en intern adresse, der lækker ud i omdirigeringer eller cookies, er det sædvanlige tegn på, at kun en af de to blev konfigureret med det offentlige navn i tankerne.
Hold mappingen i live
Nogle udbydere tildeler en anden port efter en genopkobling, og en leaset mapping kan kræve fornyelse gennem en handling på udbydersiden. Følg den mekanisme, din udbyder dokumenterer, og opdatér kun lytteren, lokale regler, DNS eller frontendreglen, hvor den nuværende kontrakt kræver det.
En statisk offentlig adresse gør ikke portleasen statisk. En adresse og port, der stadig vises i et dashboard, er ikke bevis for, at den kørende session ejer mappingen, og derfor er testen en frisk anmodning udefra i stedet for et skærmbillede.
Gentag derefter de tilfælde, du forventer: en normal genopkobling og et VPN-tab. Hvis tabet skal gøre oprindelsen utilgængelig, så lad ikke en opdateringsfunktion i det stille offentliggøre en direkte ISP-vej i baggrunden. Og hvis videresendelseskontrakten ikke kan opfylde webstedets stabilitetskrav, så vælg en anden offentliggørelsesordning i stedet for at købe endnu et adressemærkat og håbe på, at det opfører sig som en server.