IP VPN khusus tidak menerbitkan laman web anda
Alamat keluar khusus tidak memberitahu apa-apa tentang penghantaran masuk. Semak kontrak penghantaran, selesaikan bahagian asal, kemudian terbitkan port tinggi.
Membeli IP khusus daripada pembekal VPN terasa seperti membeli pintu hadapan. Alamatnya stabil, terowongnya hidup, tetapi laman tetap tidak dimuatkan untuk sesiapa di luar. Apa yang anda beli ialah satu peruntukan, bukan peraturan penghantaran masuk. Kedua-duanya dijual di kedai yang sama dan dikonfigurasikan di tempat yang sama sekali berbeza.
Alamat ialah peruntukan, bukan peraturan penghantaran
Catat alamat awam masuk atau nama hos, pengangkutan yang dibenarkan, port luaran yang diperuntukkan dan destinasi sebelah klien yang dihantar oleh pembekal. Kemudian sahkan bahawa pelayan, protokol dan ciri akaun yang anda pilih benar-benar menyokong penghantaran, dan pembekal membenarkan pengehosan di atasnya.
Khusus menerangkan peruntukan alamat. Ia tidak bermakna trafik masuk yang tidak diminta dibenarkan, dan tambahan berbeza daripada pengendali yang sama boleh mempunyai keupayaan berbeza. Alamat khusus dan produk pelayan khusus ialah dua label yang paling kerap dikelirukan, dan halaman sokongan biasanya menjelaskan yang mana satu menghantar.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Contoh kontrak kelihatan seperti ini: pembekal menghantar TCP 203.0.113.60:45000 ke perkhidmatan HTTPS peranti anda yang disambungkan pada port 8443. Itu huraian pemetaan yang dikonfigurasikan oleh orang lain, bukan peraturan yang anda boleh cipta di tepi mereka dengan menaipnya ke dalam tembok api anda sendiri.
Selesaikan bahagian asal
Jika aplikasi web berjalan pada klien VPN itu sendiri, ia memerlukan pendengar pada port yang dihantar dan kebenaran input setempat yang terhad untuk port itu. Jika klien menghantar sambungan yang dipetakan ke hos lain, ia memerlukan terjemahan destinasi, dasar penghantaran dan laluan balasan yang bertahan perjalanan pergi balik.
Reka peraturan akses di sekitar alamat sumber yang benar-benar dipersembahkan oleh laluan pembekal. Ia bukan selalu pelawat asal, dan bukan selalu pelayan VPN juga, yang penting apabila anda menulis peraturan yang hanya satu daripada alamat itu akan sepadan.
Terjemahan port juga tidak menukar HTTP menjadi HTTPS. Port awam dan port aplikasi setempat boleh berbeza dengan bebas, tetapi skema, identiti sijil dan ubah hala masih mesti sepadan dengan perkhidmatan yang benar-benar dicapai oleh orang ramai. Jika sijil menamakan hos awam, kekalkan nama itu pada setiap hop. Ketidakpadanan di sini muncul sebagai amaran pelayar dan bukan kegagalan penghalaan, yang menghantar orang ke log yang salah selama sejam.
Terbitkan port tinggi dengan jujur
Jika pelawat menyambung terus dan pembekal memperuntukkan port tinggi, beri mereka URL penuh. Rekod alamat DNS biasa tidak boleh menambah port pada permintaan HTTPS yang menggunakan 443 secara lalai, dan tiada pelarasan TTL mengubahnya.
Bahagian hadapan web boleh menyelesaikannya dengan menerima pelawat pada port biasa dan membuat sambungannya sendiri ke port asal yang dihantar. Walau bagaimanapun, port proksi lalai Cloudflare ialah senarai yang ditetapkan, dan port yang diperuntukkan secara sewenang-wenangnya tidak menjadi port tepi yang disokong hanya kerana anda menambah rekod DNS yang diproksikan.
Menukar port destinasi asal ialah operasi berbeza daripada menukar port pelawat. Origin Rules Cloudflare mendokumenkan penggantian port destinasi untuk sambungan backend, terhad kepada peraturan, skema dan nama hos yang disokong. Penggantian port bukan geganti umum untuk UDP sewenang-wenangnya atau protokol lain.
Apabila bahagian hadapan menamatkan TLS, sahkan kedua-dua hop: sijil daripada pelayar ke bahagian hadapan dan sambungan daripada bahagian hadapan ke asal. Hop VPN tidak menggantikan mana-mana daripada dua pemeriksaan itu, dan alamat dalaman yang bocor ke ubah hala atau kuki ialah tanda biasa bahawa hanya satu daripada dua dikonfigurasikan dengan nama awam dalam fikiran.
Kekalkan pemetaan hidup
Sesetengah pembekal memperuntukkan port berbeza selepas sambungan semula, dan pemetaan yang dipajak mungkin memerlukan pembaharuan melalui tindakan di pihak pembekal. Ikuti mekanisme yang didokumenkan oleh pembekal anda, dan kemas kini pendengar, peraturan setempat, DNS atau peraturan bahagian hadapan hanya di tempat kontrak semasa memerlukannya.
Alamat awam statik tidak menjadikan pajakan port statik. Alamat dan port yang masih dipaparkan dalam papan pemuka bukan bukti bahawa sesi aktif memiliki pemetaan itu, sebab itu ujiannya ialah permintaan baharu dari luar dan bukan tangkapan skrin.
Kemudian ulangi kes yang anda jangkakan: sambungan semula biasa, dan kehilangan VPN. Jika kehilangan sepatutnya menjadikan asal tidak tersedia, jangan biarkan pengemas kini menerbitkan semula laluan ISP terus secara senyap di latar belakang. Dan jika kontrak penghantaran tidak dapat memenuhi keperluan kestabilan laman, pilih susunan penerbitan lain daripada membeli label alamat lagi dan berharap ia berkelakuan seperti pelayan.