Dedikovaná IP adresa VPN nezverejní vašu stránku
Dedikovaná výstupná adresa nič nehovorí o doručovaní prichádzajúcej prevádzky. Skontrolujte zmluvu o presmerovaní, dokončite stranu pôvodu a potom zverejnite vysoký port.
Kúpa dedikovanej IP adresy od poskytovateľa VPN vyzerá ako kúpa vchodových dverí. Adresa je stabilná, tunel beží, a stránka sa napriek tomu nikomu zvonku nenačíta. To, čo ste kúpili, je pridelenie adresy, nie pravidlo pre prichádzajúce presmerovanie. Oboje sa predáva v tom istom obchode a konfiguruje na úplne iných miestach.
Adresa je pridelenie, nie pravidlo presmerovania
Zaznamenajte prichádzajúcu verejnú adresu alebo názov hostiteľa, povolený transport, pridelený externý port a cieľ na strane klienta, kam poskytovateľ doručuje. Potom overte, že zvolený server, protokol a funkcia účtu presmerovanie skutočne podporujú a že poskytovateľ na ňom povoľuje hosting.
Slovo dedikovaná opisuje pridelenie adresy. Neznamená, že je povolená nevyžiadaná prichádzajúca prevádzka, a rôzne doplnky toho istého operátora môžu mať rôzne možnosti. Dedikovaná adresa a produkt dedikovaný server sú dva najčastejšie zamieňané štítky a stránky podpory zvyčajne upresňujú, ktorý z nich presmerúva.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Ilustratívna zmluva vyzerá takto: poskytovateľ doručuje TCP 203.0.113.60:45000 službe HTTPS vášho pripojeného zariadenia na porte 8443. To je opis mapovania, ktoré nastavil niekto iný, nie pravidlo, ktoré môžete vytvoriť na ich hrane napísaním do vlastného firewallu.
Dokončite stranu pôvodu
Ak webová aplikácia beží priamo na klientovi VPN, potrebuje poslucháča na doručenom porte a obmedzené oprávnenie pre lokálny vstup na tento port. Ak klient presmerúva mapované spojenie na iného hostiteľa, potrebuje preklad cieľa, politiku presmerovania a cestu odpovede, ktorá vydrží cestu tam aj späť.
Pravidlá prístupu navrhujte podľa zdrojovej adresy, ktorú cesta poskytovateľa skutočne predkladá. Nie je to vždy pôvodný návštevník a nie je to vždy ani server VPN, čo je dôležité, keď píšete pravidlo, ktorému by vyhovovala iba jedna z týchto adries.
Preklad portov tiež nepremieňa HTTP na HTTPS. Verejný port a lokálny port aplikácie sa môžu ľubovoľne líšiť, ale schéma, identita certifikátu a presmerovania musia stále zodpovedať službe, na ktorú ľudia skutočne dosahujú. Ak certifikát uvádza verejného hostiteľa, zachovajte to meno v každom kroku. Nezhoda sa tu prejaví ako varovanie prehliadača, nie ako zlyhanie smerovania, čo pošle ľudí na hodinu k nesprávnym logom.
Zverejnite vysoký port čestne
Ak sa návštevníci pripájajú priamo a poskytovateľ pridelil vysoký port, dajte im celú URL. Bežný DNS záznam adresy nemôže pridať port k požiadavke HTTPS, ktorá predvolene používa 443, a žiadne ladenie TTL to nezmení.
Webový frontend to môže vyriešiť tak, že prijíma návštevníkov na obvyklom porte a vytvára vlastné spojenie na presmerovaný port pôvodu. Predvolené proxy porty Cloudflare sú však definovaný zoznam a ľubovoľne pridelený port sa nestane podporovaným hranovým portom len preto, že ste pridali proxy DNS záznam.
Zmena cieľového portu pôvodu je iná operácia ako zmena portu návštevníka. Origin Rules od Cloudflare dokumentujú prepísanie cieľového portu pre spojenie s backendom, obmedzené na podporované pravidlo, schému a názov hostiteľa. Prepísanie portu nie je univerzálne relé pre ľubovoľný UDP ani iné protokoly.
Keď frontend ukončí TLS, overte oba kroky: certifikát z prehliadača do frontendu a spojenie z frontendu do pôvodu. Krok VPN nenahrádza ani jednu z týchto kontrol a únik internej adresy do presmerovaní alebo cookies je obvyklým znakom toho, že len jeden z dvoch bol nastavený s ohľadom na verejné meno.
Udržte mapovanie živé
Niektorí poskytovatelia prideľujú po opätovnom pripojení iný port a prenajaté mapovanie môže vyžadovať obnovenie akciou na strane poskytovateľa. Sledujte mechanizmus, ktorý váš poskytovateľ dokumentuje, a aktualizujte poslucháča, lokálne pravidlá, DNS alebo pravidlo frontendu len tam, kde to aktuálna zmluva vyžaduje.
Statická verejná adresa nerobí prenájom portu statickým. Adresa a port stále zobrazené v paneli nie sú dôkazom, že živá relácia mapovanie vlastní, preto je testom nová požiadavka zvonku, nie snímka obrazovky.
Potom zopakujte prípady, ktoré očakávate: bežné opätovné pripojenie a výpadok VPN. Ak má výpadok urobiť pôvod nedostupným, nedovoľte aktualizátoru potichu znova publikovať priamu cestu ISP na pozadí. A ak zmluva o presmerovaní nemôže splniť požiadavky stránky na stabilitu, zvoľte iné usporiadanie publikovania namiesto kúpy ďalšieho štítku adresy a nádeje, že sa bude správať ako server.