Ein dedikert VPN-IP publiserer ikkje nettstaden din
Ei dedikert utgåandsadresse seier ingenting om innkomande levering. Kontroller videresendingsavtala, fullfør opphavssida og publiser deretter ein høg port.
Å kjøpe ein dedikert IP frå ein VPN-leverandør kjennest som å kjøpe ei inngangsdør. Adressa er stabil, tunnelen er oppe, og nettstaden lastar framleis ikkje for nokon utanfrå. Det du kjøpte, er ei tildeling, ikkje ei regel for innkomande videresending. Begge blir selde i same butikk og konfigurerte på heilt ulike stader.
Adressa er ei tildeling, ikkje ei videresendingsregel
Noter den innkomande offentlege adressa eller vertsnamnet, transporten som er tillaten, den tildelte eksterne porten og klientmålet leverandøren leverer til. Stadfest deretter at tenaren, protokollen og kontofunksjonen du valde faktisk støttar videresending, og at leverandøren tillèt hosting på han.
Dedikert skildrar adressetildeling. Det tyder ikkje at uoppfordra innkomande trafikk er tillaten, og ulike tillegg frå same operatør kan ha ulike eigenskapar. Den dedikerte adressa og produktet dedikert tenar er dei to etikettene folk oftast blandar saman, og støttesidene seier vanlegvis kva for ein av dei som videresender.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Ei illustrerande avtale ser slik ut: leverandøren leverer TCP 203.0.113.60:45000 til HTTPS-tenesta på den tilkopla eininga di på port 8443. Det er ei skildring av ei tilordning nokon andre har konfigurert, ikkje ei regel du kan opprette på kanten deira ved å skrive henne inn i din eigen brannmur.
Fullfør opphavssida
Viss webapplikasjonen køyrer på VPN-klienten sjølv, treng han ein lyttar på den leverte porten og eit avgrensa løyve for lokalt inndata på den porten. Viss klienten videresender den tilordna sambandet til ein annan vert, treng han målomsetjing, videresendingspolicy og ein svarveg som toler turen fram og tilbake.
Design tilgangsreglane rundt kjeldeadressa som leverandørvegen faktisk presenterer. Det er ikkje alltid den opphavlege besøkjande, og det er heller ikkje alltid VPN-tenaren, noko som tyder noko når du skriv ei regel som berre éi av desse adressene ville passe på.
Portomsetjing gjer heller ikkje HTTP om til HTTPS. Den offentlege porten og den lokale applikasjonsporten kan fritt vere ulike, men skjemaet, identiteten til sertifikatet og omdirigeringane må framleis stemme med tenesta folk faktisk når. Viss sertifikatet nemner den offentlege verten, hald det namnet på kvart hopp. Eit avvik her viser seg som ei nettlesaråtvaring og ikkje som ein rutefeil, noko som sender folk til feil loggar i ein time.
Publiser den høge porten ærleg
Viss besøkjande koplar til direkte og leverandøren tildelte ein høg port, gje dei heile URL-en. Ein vanleg DNS-adressepost kan ikkje leggje til ein port på ei HTTPS-førespurnad som som standard brukar 443, og inga TTL-justering endrar det.
Ein webfrontend kan løyse dette ved å ta imot besøkjande på den vanlege porten og lage si eiga tilkopling til den videresende opphavsporten. Cloudflare sine standard proxy-portar er likevel ei definert liste, og ein vilkårleg tildelt port blir ikkje ein støtta kantport fordi du la til ein proxy-a DNS-post.
Å endre målporten til opphavet er ei anna handling enn å endre porten til den besøkjande. Cloudflare sine Origin Rules dokumenterer ei overskriving av målporten for backend-sambandet, avgrensa til ei støtta regel, skjema og vertsnamn. Ei portoverskriving er ikkje eit generelt relé for vilkårleg UDP eller andre protokoll.
Når ein frontend avsluttar TLS, valider begge hoppa: sertifikatet frå nettlesaren til frontend og sambandet frå frontend til opphavet. VPN-hoppet erstattar ingen av dei to kontrollane, og ei intern adresse som lek ut i omdirigeringar eller informasjonskapslar er det vanlege teiknet på at berre éin av dei to vart konfigurert med det offentlege namnet i tankane.
Hald tilordninga i live
Nokre leverandørar tildeler ein annan port etter ei ny tilkopling, og ei leigd tilordning kan krevje fornying gjennom ei handling på leverandøren si side. Følg mekanismen leverandøren din dokumenterer, og oppdater lyttaren, lokale reglar, DNS eller frontendregelen berre der den gjeldande avtala krev det.
Ei statisk offentleg adresse gjer ikkje portleiga statisk. Ei adresse og ein port som framleis blir viste i eit dashbord er ikkje prov på at den aktive økta eig tilordninga, og difor er testen ein fersk førespurnad utanfrå i staden for eit skjermbilete.
Gjenta så tilfella du ventar: ei normal ny tilkopling og eit VPN-tap. Viss tapet skal gjere opphavet utilgjengeleg, ikkje la ein oppdaterar i det stille publisere ein direkte ISP-veg på nytt i bakgrunnen. Og viss videresendingsavtala ikkje kan oppfylle stabilitetskrava til nettstaden, vel ei anna publiseringsordning i staden for å kjøpe nok ei adresseetikett og håpe ho oppfører seg som ein tenar.