Eine dedizierte VPN-IP veröffentlicht Ihre Website nicht
Eine dedizierte Exit-Adresse sagt nichts über eingehende Zustellung aus. Prüfen Sie den Weiterleitungsvertrag, vervollständigen Sie die Ursprungsseite und veröffentlichen Sie dann einen hohen Port.
Eine dedizierte IP bei einem VPN-Anbieter zu kaufen fühlt sich an wie der Kauf einer Haustür. Die Adresse ist stabil, der Tunnel steht, und trotzdem lädt die Website für niemanden draußen. Was Sie gekauft haben, ist eine Zuweisung, keine Regel für eingehende Weiterleitung. Beides wird im selben Laden verkauft und an völlig verschiedenen Stellen konfiguriert.
Die Adresse ist eine Zuweisung, keine Weiterleitungsregel
Notieren Sie die eingehende öffentliche Adresse oder den Hostnamen, das erlaubte Transportprotokoll, den zugewiesenen externen Port und das clientseitige Ziel, an das der Anbieter zustellt. Bestätigen Sie dann, dass der gewählte Server, das Protokoll und die Kontofunktion Weiterleitung tatsächlich unterstützen und dass der Anbieter Hosting darauf erlaubt.
Dediziert beschreibt die Adresszuweisung. Es bedeutet nicht, dass unaufgeforderter eingehender Verkehr erlaubt ist, und verschiedene Add-ons desselben Betreibers können unterschiedliche Fähigkeiten haben. Die dedizierte Adresse und das Produkt dedizierter Server sind die beiden Etiketten, die am häufigsten verwechselt werden, und die Supportseiten legen meist dar, welche davon weiterleitet.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Ein beispielhafter Vertrag sieht so aus: Der Anbieter liefert TCP 203.0.113.60:45000 an den HTTPS-Dienst Ihres verbundenen Geräts auf Port 8443. Das beschreibt eine Zuordnung, die jemand anderes konfiguriert hat, keine Regel, die Sie an deren Edge anlegen können, indem Sie sie in Ihre eigene Firewall tippen.
Vervollständigen Sie die Ursprungsseite
Läuft die Webanwendung auf dem VPN-Client selbst, braucht sie einen Listener auf dem zugestellten Port und eine eng begrenzte Berechtigung für lokale Eingaben auf diesem Port. Leitet der Client die zugeordnete Verbindung an einen anderen Host weiter, braucht er die Zielübersetzung, die Weiterleitungsrichtlinie und einen Rückweg, der den Hin- und Rückweg übersteht.
Entwerfen Sie Zugriffsregeln um die Quelladresse herum, die der Anbieterpfad tatsächlich präsentiert. Es ist nicht immer der ursprüngliche Besucher und auch nicht immer der VPN-Server, was zählt, wenn Sie eine Regel schreiben, auf die nur eine dieser Adressen passen würde.
Portübersetzung macht aus HTTP auch kein HTTPS. Der öffentliche Port und der lokale Anwendungsport dürfen frei abweichen, aber Schema, Zertifikatsidentität und Weiterleitungen müssen weiterhin zu dem Dienst passen, den Menschen tatsächlich erreichen. Wenn das Zertifikat den öffentlichen Host nennt, behalten Sie diesen Namen auf jedem Sprung bei. Eine Abweichung hier zeigt sich als Browserwarnung statt als Routingfehler, was Leute für eine Stunde in die falschen Logs schickt.
Veröffentlichen Sie den hohen Port ehrlich
Wenn Besucher direkt verbinden und der Anbieter einen hohen Port zugewiesen hat, geben Sie ihnen die vollständige URL. Ein gewöhnlicher DNS-Adresseintrag kann einer HTTPS-Anfrage, die standardmäßig 443 verwendet, keinen Port anhängen, und kein TTL-Tuning ändert das.
Ein Web-Frontend kann das lösen, indem es Besucher auf dem üblichen Port annimmt und selbst eine Verbindung zum weitergeleiteten Ursprungsport aufbaut. Die Standard-Proxy-Ports von Cloudflare sind jedoch eine definierte Liste, und ein beliebig zugewiesener Port wird nicht dadurch ein unterstützter Edge-Port, dass Sie einen Proxy-DNS-Eintrag hinzufügen.
Den Zielport des Ursprungs zu ändern ist ein anderer Vorgang als den Besucherport zu ändern. Die Origin Rules von Cloudflare dokumentieren eine Überschreibung des Zielports für die Backend-Verbindung, begrenzt auf eine unterstützte Regel, ein Schema und einen Hostnamen. Eine Portüberschreibung ist kein generisches Relay für beliebiges UDP oder andere Protokolle.
Wenn ein Frontend TLS terminiert, validieren Sie beide Sprünge: das Zertifikat vom Browser zum Frontend und die Verbindung vom Frontend zum Ursprung. Der VPN-Sprung ersetzt keine der beiden Prüfungen, und eine interne Adresse, die in Weiterleitungen oder Cookies durchsickert, ist das übliche Zeichen dafür, dass nur eine der beiden mit dem öffentlichen Namen im Kopf konfiguriert wurde.
Halten Sie die Zuordnung am Leben
Manche Anbieter vergeben nach einer Wiederverbindung einen anderen Port, und eine geleaste Zuordnung kann eine Erneuerung durch eine Aktion auf Anbieterseite erfordern. Verfolgen Sie den Mechanismus, den Ihr Anbieter dokumentiert, und aktualisieren Sie Listener, lokale Regeln, DNS oder Frontend-Regel nur dort, wo der aktuelle Vertrag es verlangt.
Eine statische öffentliche Adresse macht die Port-Lease nicht statisch. Eine Adresse und ein Port, die noch im Dashboard stehen, sind kein Beweis dafür, dass die laufende Sitzung die Zuordnung besitzt, deshalb ist der Test eine frische Anfrage von außen statt eines Screenshots.
Wiederholen Sie dann die Fälle, die Sie erwarten: eine normale Wiederverbindung und ein VPN-Ausfall. Soll der Ausfall den Ursprung unerreichbar machen, lassen Sie keinen Updater im Hintergrund still einen direkten ISP-Pfad erneut veröffentlichen. Und wenn der Weiterleitungsvertrag die Stabilitätsanforderungen der Website nicht erfüllen kann, wählen Sie eine andere Veröffentlichungsform, statt ein weiteres Adressetikett zu kaufen und zu hoffen, dass es sich wie ein Server verhält.