Spetsiaalne VPN-IP ei avalda sinu veebisaiti
Spetsiaalne väljundaddress ei ütle sissetuleva kohaletoimetamise kohta midagi. Kontrolli edastuslepet, lõpeta päritolupool ja avalda siis kõrge port.
Spetsiaalse IP ostmine VPN-teenusepakkujalt tundub nagu välisukse ostmine. Aadress on püsiv, tunnel on püsti ja veebisait ei laadi ikkagi mitte kellelegi väljastpoolt. See, mille ostsid, on aadressi määramine, mitte sissetuleva edastuse reegel. Mõlemat müüakse samas poes ja seadistatakse täiesti erinevates kohtades.
Aadress on määramine, mitte edastusreegel
Kirjuta üles sissetulev avalik aadress või hostinimi, lubatud transport, määratud väline port ja kliendipoolne sihtkoht, kuhu pakkuja toimetab. Seejärel kinnita, et valitud server, protokoll ja kontofunktsioon tõesti toetavad edastust ning et pakkuja lubab sellel hostimist.
Sõna spetsiaalne kirjeldab aadressi määramist. See ei tähenda, et soovimatu sissetulev liiklus on lubatud, ja sama operaatori erinevatel lisadel võivad olla erinevad võimalused. Spetsiaalne aadress ja spetsiaalse serveri toode on kaks silti, mida kõige sagedamini segi aetakse, ja tugilehed tavaliselt täpsustavad, milline neist edastab.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Näidislepe näeb välja nii: pakkuja toimetab TCP 203.0.113.60:45000 sinu ühendatud seadme HTTPS-teenusesse pordil 8443. See on kellegi teise seadistatud vastenduse kirjeldus, mitte reegel, mille saaksid nende servas luua, kirjutades selle oma tulemüüri.
Lõpeta päritolupool
Kui veebirakendus töötab VPN-kliendi enda peal, vajab see kuulajat toimetatud pordil ja selle pordi jaoks piiratud kohaliku sisendi luba. Kui klient edastab vastendatud ühenduse teisele hostile, vajab see sihtkoha tõlget, edastuspoliitikat ja vastusteekonda, mis peab vastu edasi-tagasi liikumisele.
Kujunda juurdepääsureeglid allikaaadressi ümber, mille pakkuja tee tegelikult esitab. See ei ole alati algne külastaja ja mitte alati ka VPN-server, mis loeb siis, kui kirjutad reegli, millele vastaks ainult üks neist aadressidest.
Pordi tõlkimine ei muuda ka HTTP-d HTTPS-iks. Avalik port ja kohalik rakenduse port võivad vabalt erineda, kuid skeem, sertifikaadi identiteet ja ümbersuunamised peavad ikkagi vastama teenusele, milleni inimesed tegelikult jõuavad. Kui sertifikaat nimetab avalikku hosti, hoia see nimi igal hüppel. Siinne lahknevus ilmneb brauseri hoiatusena, mitte marsruutimise veana, mis saadab inimesed tunniks valedesse logidesse.
Avalda kõrge port ausalt
Kui külastajad ühenduvad otse ja pakkuja määras kõrge pordi, anna neile täielik URL. Tavaline DNS-aadressikirje ei saa lisada porti HTTPS-päringule, mis kasutab vaikimisi 443, ja ükski TTL-i näppimine ei muuda seda.
Veebi esiosa saab selle lahendada, võttes külastajaid vastu tavalisel pordil ja luues oma ühenduse edastatud päritoluporti. Cloudflare'i vaikimisi puhverserveri pordid on aga määratletud nimekiri ja meelevaldselt määratud port ei muutu toetatud servapordiks ainult sellepärast, et lisasid puhverserveri DNS-kirje.
Päritolu sihtpordi muutmine on teine toiming kui külastaja pordi muutmine. Cloudflare'i Origin Rules dokumenteerivad taustarakenduse ühenduse sihtpordi tühistamise, mis on piiratud toetatud reegli, skeemi ja hostinimega. Pordi tühistamine ei ole üldine relee meelevaldse UDP ega muude protokollide jaoks.
Kui esiosa lõpetab TLS-i, valideeri mõlemad hüpped: brauserist esiosani sertifikaat ja esiosast päritoluni ühendus. VPN-i hüpe ei asenda kumbagi kontrolli, ja sisemise aadressi lekkimine ümbersuunamistesse või küpsistesse on tavaline märk, et ainult üks kahest seadistati avalikku nime silmas pidades.
Hoia vastendus elus
Mõned pakkujad määravad uuesti ühendamise järel teise pordi ja renditud vastendus võib nõuda uuendamist pakkujapoolse toiminguga. Jälgi mehhanismi, mida sinu pakkuja dokumenteerib, ja uuenda kuulajat, kohalikke reegleid, DNS-i või esiosa reeglit ainult seal, kus kehtiv lepe seda nõuab.
Staatiline avalik aadress ei tee pordi rendist staatilist. Aadress ja port, mis on veel armatuurlaual näha, ei tõesta, et töötav sessioon omab vastendust, seetõttu on testiks värske päring väljastpoolt, mitte ekraanipilt.
Seejärel korda juhtumeid, mida ootad: tavaline uuesti ühendamine ja VPN-i katkestus. Kui katkestus peaks päritolu kättesaamatuks tegema, ära lase uuendajal taustal vaikselt uuesti avaldada otsest ISP-teed. Ja kui edastuslepe ei suuda saidi stabiilsusnõudeid täita, vali teine avaldamislahendus, selle asemel et osta veel üks aadressisilt ja loota, et see käitub nagu server.