Dedikoitu VPN-IP ei julkaise verkkosivustoasi
Dedikoitu lähtöosoite ei kerro mitään saapuvasta toimituksesta. Tarkista edelleenlähetyssopimus, viimeistele alkuperän puoli ja julkaise sitten korkea portti.
Dedikoidun IP-osoitteen ostaminen VPN-palveluntarjoajalta tuntuu kuin ostaisi ulko-oven. Osoite on vakaa, tunneli on pystyssä, eikä sivusto silti lataudu kenellekään ulkopuolella. Se, mitä ostit, on osoitteen määritys, ei saapuvan edelleenlähetyksen sääntö. Molempia myydään samassa kaupassa ja määritetään täysin eri paikoissa.
Osoite on määritys, ei edelleenlähetyssääntö
Kirjaa saapuva julkinen osoite tai isäntänimi, sallittu siirtotapa, määritetty ulkoinen portti ja asiakaspuolen kohde, johon palveluntarjoaja toimittaa. Vahvista sitten, että valitsemasi palvelin, protokolla ja tilin ominaisuus todella tukevat edelleenlähetystä ja että palveluntarjoaja sallii siinä ylläpidon.
Dedikoitu kuvaa osoitteen määritystä. Se ei tarkoita, että pyytämätön saapuva liikenne on sallittua, ja saman operaattorin eri lisäosilla voi olla erilaiset valmiudet. Dedikoitu osoite ja dedikoidun palvelimen tuote ovat kaksi nimikettä, jotka sekoitetaan useimmin, ja tukisivut yleensä kertovat, kumpi välittää.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Havainnollistava sopimus näyttää tältä: palveluntarjoaja toimittaa TCP 203.0.113.60:45000 yhdistetyn laitteesi HTTPS-palveluun portissa 8443. Se on kuvaus uudelleenohjauksesta, jonka joku muu on määrittänyt, ei sääntö, jonka voisit luoda heidän reunallaan kirjoittamalla sen omaan palomuuriisi.
Viimeistele alkuperän puoli
Jos verkkosovellus toimii VPN-asiakkaassa itsessään, se tarvitsee kuuntelijan toimitetussa portissa ja rajatun paikallisen syötön luvan sille portille. Jos asiakas välittää kartoitettua yhteyttä toiselle isännälle, se tarvitsee kohdekäännöksen, välityskäytännön ja vastausreitin, joka kestää edestakaisen matkan.
Suunnittele käyttösäännöt sen lähdeosoitteen ympärille, jonka palveluntarjoajan reitti todella esittää. Se ei ole aina alkuperäinen vierailija eikä aina myöskään VPN-palvelin, millä on merkitystä, kun kirjoitat sääntöä, johon vain toinen noista osoitteista sopisi.
Portin kääntäminen ei myöskään muuta HTTP:tä HTTPS:ksi. Julkinen portti ja sovelluksen paikallinen portti voivat poiketa vapaasti, mutta skeeman, varmenteen identiteetin ja uudelleenohjausten on edelleen vastattava palvelua, johon ihmiset todella pääsevät. Jos varmenne nimeää julkisen isännän, pidä nimi sellaisena joka hypyllä. Epäjohdonmukaisuus näkyy tässä selaimen varoituksena eikä reititysvirheenä, mikä lähettää ihmiset tunniksi vääriin lokeihin.
Julkaise korkea portti rehellisesti
Jos vierailijat yhdistävät suoraan ja palveluntarjoaja määritti korkean portin, anna heille täydellinen URL-osoite. Tavallinen DNS-osoitetietue ei voi lisätä porttia HTTPS-pyyntöön, joka käyttää oletuksena porttia 443, eikä TTL:n säätäminen muuta sitä.
Verkkoetupää voi ratkaista tämän ottamalla vierailijoita vastaan tavallisessa portissa ja muodostamalla oman yhteytensä välitettyyn alkuperäporttiin. Cloudflaren oletusvälityspalvelinportit ovat kuitenkin määritelty luettelo, eikä mielivaltaisesti määritetty portti muutu tuetuksi reunaportiksi vain siksi, että lisäsit välityspalvelimen DNS-tietueen.
Alkuperän kohdeportin muuttaminen on eri toimenpide kuin vierailijan portin muuttaminen. Cloudflaren Origin Rules dokumentoivat taustayhteyden kohdeportin ohituksen, joka on rajattu tuettuun sääntöön, skeemaan ja isäntänimeen. Portin ohitus ei ole yleinen välitin mielivaltaiselle UDP:lle tai muille protokollille.
Kun etupää lopettaa TLS:n, validoi molemmat hypyt: selaimesta etupäähän ulottuva varmenne ja etupäästä alkuperään ulottuva yhteys. VPN-hyppy ei korvaa kumpaakaan tarkistusta, ja sisäisen osoitteen vuotaminen uudelleenohjauksiin tai evästeisiin on tavallinen merkki siitä, että vain toinen kahdesta määritettiin julkisen nimen mielessä.
Pidä kartoitus elossa
Jotkut palveluntarjoajat jakavat eri portin uudelleenyhdistämisen jälkeen, ja vuokrattu kartoitus voi vaatia uusimisen palveluntarjoajan puolella tehtävällä toimenpiteellä. Seuraa mekanismia, jonka palveluntarjoajasi dokumentoi, ja päivitä kuuntelija, paikalliset säännöt, DNS tai etupään sääntö vain siellä, missä nykyinen sopimus sitä vaatii.
Staattinen julkinen osoite ei tee portin vuokrauksesta staattista. Kojelaudassa yhä näkyvä osoite ja portti eivät todista, että käynnissä oleva istunto omistaa kartoituksen, siksi testi on tuore pyyntö ulkopuolelta eikä kuvakaappaus.
Toista sitten ne tapaukset, joita odotat: tavallinen uudelleenyhdistäminen ja VPN:n menetys. Jos menetyksen pitäisi tehdä alkuperä saavuttamattomaksi, älä anna päivittäjän hiljaa julkaista uudelleen suoraa ISP-reittiä taustalla. Ja jos edelleenlähetyssopimus ei pysty täyttämään sivuston vakausvaatimuksia, valitse toinen julkaisujärjestely sen sijaan, että ostaisit vielä yhden osoitenimikkeen ja toivoisit sen käyttäytyvän kuin palvelin.