Γιατί το URL σας χρειάζεται καταχώριση στη θύρα 80 ή 443, όχι 45000

Πληκτρολογήστε ένα όνομα κεντρικού υπολογιστή σε ένα πρόγραμμα περιήγησης και το σχήμα καθορίζει τη θύρα προορισμού: 80 για http, 443 για https. Τίποτα σε μια απάντηση DNS δεν το ακυρώνει, και κανένας κανόνας προώθησης στον υπολογιστή σας δεν μπορεί να επινοήσει έναν ακροατή στην άκρη του παρόχου. Όταν ένας πάροχος VPN σας δίνει μια υψηλή δημόσια θύρα όπως 45000, ένα ρητό URL λειτουργεί και ένα καθαρό δεν λειτουργεί. Το κενό βρίσκεται στο σημείο εισόδου, όχι μέσα στην εφαρμογή.

Ακολουθήστε τη διαδρομή από το πρόγραμμα περιήγησης στη διεργασία μία φορά, και οι τρεις επιλογές δημοσίευσης παύουν να φαίνονται μυστηριώδεις.

Δείτε πού πηγαίνει πραγματικά το αίτημα

Το πρόγραμμα περιήγησης επιλύει το όνομα σε μια διεύθυνση και στη συνέχεια συνδέεται με αυτή τη διεύθυνση στην προεπιλεγμένη θύρα του σχήματος, εκτός αν το URL ονομάζει άλλη. Η άκρη του παρόχου σας αποφασίζει τι συμβαίνει στη σύνδεση που φτάνει. Αν ο πίνακας προώθησης αντιστοιχίζει μόνο το 45000 στην εσωτερική σας διεύθυνση, μια σύνδεση στη θύρα 80 δεν έχει πού να πάει και απορρίπτεται ή πέφτει πριν εμπλακεί ο υπολογιστής σας.

Αυτή η απόρριψη συμβαίνει στην άκρη, γι’ αυτό τα αρχεία καταγραφής της εφαρμογής σας δεν δείχνουν απολύτως τίποτα. Η απουσία καταγραφών είναι απόδειξη για το πού σταμάτησε το πακέτο, όχι απόδειξη ότι η εφαρμογή είναι χαλασμένη.

Γιατί ένας τοπικός κανόνας δεν μπορεί να διορθώσει την άκρη

Μια ανακατεύθυνση ή ένας κανόνας DNAT στον κεντρικό υπολογιστή της εφαρμογής δρα σε πακέτα που έχουν ήδη φτάσει. Τα πακέτα που στέλνονται στη θύρα 80 στον πάροχο δεν φτάνουν ποτέ, οπότε ο κανόνας δεν αξιολογείται ποτέ. Αυτή είναι η πιο συνηθισμένη χαμένη ώρα σε όλο το πρόβλημα.

Ούτε το DNS μπορεί να μεταφέρει τη θύρα. προδιαγραφή HTTP ορίζει τις προεπιλογές του σχήματος, και μια εγγραφή A ή AAAA επιστρέφει μια διεύθυνση ενώ μια CNAME επιστρέφει άλλο όνομα. Το πρόγραμμα περιήγησης εξακολουθεί να συνενώνει τη θύρα του σχήματος, οπότε μόνο μια ρητή θύρα στο URL αλλάζει τον προορισμό.

Επιλογή πρώτη: κρατήστε τη ρητή θύρα

Συχνά η σωστή απάντηση είναι η άχαρη. Δημοσιεύστε το πλήρες URL με τη θύρα, τερματίστε το TLS σε μια καταχώριση που το υποστηρίζει και βεβαιωθείτε ότι κάθε παραγόμενος σύνδεσμος διατηρεί την ίδια προέλευση. Για ένα μικρό, ελεγχόμενο κοινό αυτό είναι πλήρες, και δεν κοστίζει τίποτα πέρα από έναν ορατό αριθμό θύρας.

Ελέγξτε τις ανακατευθύνσεις και το εύρος των cookies όσο βρίσκεστε εκεί, γιατί ένα backend που γράφει το δικό του όνομα κεντρικού υπολογιστή σε μια κεφαλίδα Location ακυρώνει τη ρύθμιση.

Επιλογή δεύτερη: αποκτήστε μια πραγματική καταχώριση στην προεπιλεγμένη θύρα

Ορισμένοι πάροχοι και ρυθμίσεις φιλοξενίας προωθούν τις 80 και 443 σε μια κοινόχρηστη ή αποκλειστική διεύθυνση ως τεκμηριωμένη υπηρεσία. Ρωτήστε τι περιλαμβάνεται πραγματικά αντί να υποθέτετε ότι μια δημόσια διεύθυνση εξόδου συνεπάγεται αυθαίρετες εισερχόμενες θύρες. Μια αποκλειστική διεύθυνση εξόδου δεν λέει τίποτα για την εισερχόμενη προώθηση.

Επιβεβαιώστε την ιδιοκτησία και τη διαθεσιμότητα γραπτώς, συμπεριλαμβανομένου του τι συμβαίνει στην καταχώριση όταν το τούνελ επανασυνδέεται με διαφορετική διεύθυνση. Μια καταχώριση που μετακινείται με το τούνελ παράγει διακοπές που μοιάζουν με αστοχίες DNS.

Επιλογή τρίτη: βάλτε ένα frontend μπροστά

Ένα αντίστροφο proxy σε μια προσβάσιμη διεύθυνση μπορεί να να ακούει στη θύρα 443 και να τερματίζει το TLS και να ανοίξει μια ξεχωριστή σύνδεση με το backend μέσω του VPN. Οι επισκέπτες βλέπουν το όνομα και την προεπιλεγμένη θύρα του frontend, ενώ το frontend μιλά στην υψηλή θύρα του backend για λογαριασμό σας. Αυτό λειτουργεί επειδή αλλάζει την αρχιτεκτονική αντί να παλεύει με το σημείο εισόδου. Το backend τότε δεν χρειάζεται καθόλου εισερχόμενη θύρα στο δημόσιο διαδίκτυο.

Αλλάζει επίσης το τι λειτουργείτε. Το frontend κατέχει το δημόσιο TLS, την πολιτική πρόσβασης, τα αρχεία καταγραφής και τη διαθεσιμότητα, και πρέπει να περιορίζει την επιλογή backend στην προβλεπόμενη υπηρεσία. Αν το άλμα από το frontend στο backend χρησιμοποιεί HTTPS, κρατήστε την επικύρωση πιστοποιητικού σε αυτό το άλμα.

Κρατήστε μία προέλευση

Το δημόσιο όνομα κεντρικού υπολογιστή, το σχήμα και η θύρα του frontend αποτελούν την προέλευση που χρησιμοποιούν οι επισκέπτες, οπότε ρυθμίστε το εξωτερικό URL της εφαρμογής, τις ανακατευθύνσεις και τα cookies για αυτή την προέλευση. Στείλτε τον αρχικό κεντρικό υπολογιστή και το προωθημένο σχήμα αν η εφαρμογή δημιουργεί απόλυτους συνδέσμους. Μια απάντηση που αναπηδά τους χρήστες σε ένα ιδιωτικό όνομα ή μια υψηλή θύρα ακυρώνει την καθαρή καταχώριση που μόλις φτιάξατε.

Στη συνέχεια αποφασίστε με το κοινό κατά νου. Ένα σύντομο URL μπορεί να δικαιολογήσει ένα διαχειριζόμενο frontend, και δεν αξίζει να μετατρέψετε κατά λάθος μια ιδιωτική υπηρεσία μόνο για VPN σε δημόσια.