Посветена VPN IP не ја објавува вашата веб-страница
Посветена излезна адреса не кажува ништо за дојдовната испорака. Проверете го договорот за проследување, завршете ја страната на изворот, потоа објавете висок порт.
Купувањето посветена IP од давател на VPN изгледа како купување влезна врата. Адресата е стабилна, тунелот е кренат, а страницата сепак не се вчитува за никого однадвор. Она што го купивте е доделување на адреса, а не правило за дојдовно проследување. Двете се продаваат во иста продавница и се конфигурираат на сосема различни места.
Адресата е доделување, а не правило за проследување
Запишете ја дојдовната јавна адреса или името на домаќинот, дозволениот транспорт, доделениот надворешен порт и целта на страната на клиентот каде што доставува давателот. Потоа потврдете дека избраниот сервер, протокол и функција на сметката навистина поддржуваат проследување и дека давателот дозволува хостирање на него.
Посветена го опишува доделувањето на адреса. Тоа не значи дека е дозволен непобараниот дојдовен сообраќај, а различните додатоци на истиот оператор можат да имаат различни можности. Посветената адреса и производот посветен сервер се двете ознаки што најчесто се мешаат, а страниците за поддршка обично разјаснуваат која од нив проследува.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Примерен договор изгледа вака: давателот доставува TCP 203.0.113.60:45000 до HTTPS услугата на вашиот поврзан уред на порта 8443. Тоа е опис на мапирање што го конфигурирал некој друг, а не правило што можете да го создадете на нивниот раб со внесување во сопствениот огноѕид.
Завршете ја страната на изворот
Ако веб-апликацијата работи на самиот VPN клиент, ѝ треба слушател на доставениот порт и ограничена дозвола за локален влез за тој порт. Ако клиентот го проследува мапираното поврзување до друг домаќин, му треба превод на целта, политика за проследување и пат за одговор што го издржува патувањето напред и назад.
Дизајнирајте ги правилата за пристап околу изворната адреса што патот на давателот навистина ја прикажува. Тоа не е секогаш првичниот посетител, ниту секогаш VPN серверот, што е важно кога пишувате правило на кое би одговарала само една од тие адреси.
Преводот на порти исто така не го претвора HTTP во HTTPS. Јавниот порт и локалниот порт на апликацијата можат слободно да се разликуваат, но шемата, идентитетот на сертификатот и пренасочувањата сè уште мора да одговараат на услугата до која луѓето навистина стигнуваат. Ако сертификатот го именува јавниот домаќин, задржете го тоа име на секој чекор. Несовпаѓањето овде се појавува како предупредување во прелистувачот, а не како грешка во рутирањето, што ги испраќа луѓето во погрешните дневници за еден час.
Објавете го високиот порт чесно
Ако посетителите се поврзуваат директно и давателот доделил висок порт, дајте им ја целосната URL-адреса. Обичен DNS запис за адреса не може да додаде порт на HTTPS барање што стандардно користи 443, и никакво прилагодување на TTL не го менува тоа.
Веб-фронтендот може да го реши ова со прифаќање посетители на вообичаениот порт и создавање сопствена врска до проследениот порт на изворот. Сепак, стандардните прокси порти на Cloudflare се определен список, а произволно доделен порт не станува поддржан рабен порт само затоа што додадовте проксиран DNS запис.
Менувањето на целниот порт на изворот е друга операција од менувањето на портот на посетителот. Origin Rules на Cloudflare документираат замена на целниот порт за врската со backend, ограничена на поддржано правило, шема и име на домаќин. Замената на порт не е универзален релеј за произволен UDP или други протоколи.
Кога фронтендот завршува TLS, валидирајте ги двата чекори: сертификатот од прелистувачот до фронтендот и врската од фронтендот до изворот. VPN чекорот не заменува ниту една од двете проверки, а истекувањето на внатрешна адреса во пренасочувања или колачиња е вообичаениот знак дека само една од двете е конфигурирана со јавното име на ум.
Одржете го мапирањето живо
Некои даватели доделуваат друг порт по повторно поврзување, а изнајмено мапирање може да бара обнова преку дејство на страната на давателот. Следете го механизмот што го документира вашиот давател и ажурирајте го слушателот, локалните правила, DNS или правилото на фронтендот само таму каде што го бара тековниот договор.
Статичната јавна адреса не го прави закупот на портот статичен. Адреса и порт што сè уште се прикажуваат на контролната табла не се доказ дека активната сесија го поседува мапирањето, затоа тестот е ново барање однадвор, а не слика од екранот.
Потоа повторете ги случаите што ги очекувате: нормално повторно поврзување и губење на VPN. Ако губењето треба да го направи изворот недостапен, не дозволувајте ажурирачот тивко повторно да објави директен ISP пат во позадина. И ако договорот за проследување не може да ги исполни барањата за стабилност на страницата, изберете друг распоред за објавување наместо да купите уште една ознака за адреса и да се надевате дека ќе се однесува како сервер.