専用VPN IPはあなたのサイトを公開しない
専用の出口アドレスは、受信側の配送について何も語りません。転送の契約を確認し、オリジン側を仕上げてから、高いポートを公開してください。
VPN事業者から専用IPを買うのは、玄関のドアを買うようなものです。アドレスは固定され、トンネルはつながっているのに、外からは誰もサイトを開けません。あなたが買ったのは 割り当てであって、受信の転送ルールではありません。両者は同じ店で売られていて、設定する場所はまったく違います。
アドレスは割り当てであり、転送ルールではない
受信用の公開アドレスまたはホスト名、許可されるトランスポート、割り当てられた外部ポート、事業者が配送するクライアント側の宛先を記録します。そのうえで、選んだサーバー、プロトコル、アカウント機能が実際に転送に対応しているか、事業者がそのうえでのホスティングを認めているかを確認します。
「専用」が表すのはアドレスの割り当てです。依頼していない受信トラフィックが許可されるという意味ではなく、同じ事業者の追加オプションでも機能は異なります。専用アドレスと専用サーバー製品は最も混同される二つの名称で、サポートページにはどちらが転送するのかがたいてい明記されています。
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
契約の例はこうです。事業者は TCP 203.0.113.60:45000 を、接続中の端末の HTTPS サービスへポート 8443 で配送します。これは他の誰かが設定した対応付けの説明であり、自分のファイアウォールに書けば相手側のエッジに作れるルールではありません。
オリジン側を仕上げる
ウェブアプリケーションが VPN クライアント上で動く場合、配送されたポートで待ち受けるリスナーと、そのポートに対する範囲を絞ったローカル入力の許可が必要です。クライアントが対応付けされた接続を別のホストへ転送する場合は、宛先の変換、転送ポリシー、往復に耐える戻り経路が必要です。
アクセスルールは、事業者の経路が実際に提示する送信元アドレスを中心に設計します。それは常に元の訪問者ではなく、常に VPN サーバーでもないため、どちらか一方のアドレスだけに一致するルールを書くときには重要です。
ポート変換も HTTP を HTTPS に変えるわけではありません。公開ポートとローカルなアプリケーションポートは自由に違えてかまいませんが、スキーム、証明書の身元、リダイレクトは、人が実際に到達するサービスと一致していなければなりません。証明書が公開ホスト名を名乗るなら、どの区間でもその名前を保ちます。ここでの不一致はルーティング障害ではなくブラウザーの警告として現れ、人を一時間ほど誤ったログへ導きます。
高いポートを正直に公開する
訪問者が直接接続し、事業者が高いポートを割り当てたなら、完全な URL を渡します。通常の DNS アドレスレコードは、既定で 443 を使う HTTPS 要求にポートを足せませんし、TTL を調整しても変わりません。
ウェブフロントエンドなら、訪問者を通常のポートで受け、転送されたオリジンのポートへ自分で接続することで解決できます。ただし Cloudflare の既定のプロキシポートは定められた一覧であり、プロキシした DNS レコードを足したからといって、任意の割り当てポートが対応するエッジポートになるわけではありません。
オリジンの宛先ポートを変えるのは、訪問者側のポートを変えるのとは別の操作です。Cloudflare の Origin Rules はバックエンド接続の宛先ポート上書きを文書化しており、対応するルール、スキーム、ホスト名に限定されます。ポートの上書きは、任意の UDP やその他のプロトコル向けの汎用リレーではありません。
フロントエンドが TLS を終端するときは、両方の区間を検証します。ブラウザーからフロントエンドへの証明書と、フロントエンドからオリジンへの接続です。VPN の区間はどちらの検査も置き換えませんし、内部アドレスがリダイレクトや Cookie に漏れるのは、片方だけを公開名を意識して設定したときの典型的な兆候です。
対応付けを生かしておく
再接続のあとに別のポートを割り当てる事業者もあり、貸し出された対応付けは事業者側の操作による更新が必要な場合があります。事業者が文書化している仕組みを追い、リスナー、ローカルルール、DNS、フロントエンドのルールは、現在の契約が求めるところだけ更新します。
公開アドレスが固定でも、ポートの貸与が固定になるわけではありません。ダッシュボードにまだ表示されているアドレスとポートは、稼働中のセッションが対応付けを所有している証拠にはなりません。だからこそ試験は外部からの新しい要求であって、スクリーンショットではありません。
そのうえで、想定するケースを繰り返します。通常の再接続と、VPN の切断です。切断でオリジンを到達不能にすべきなら、更新ツールが背後で ISP の直接経路をこっそり再公開しないようにします。転送の契約がサイトの安定性要件を満たせないなら、別のアドレス名を買ってサーバーのように振る舞うことを期待するのではなく、別の公開方法を選びます。