Pse URL-ja juaj ka nevojë për një hyrje në portën 80 ose 443, jo 45000

Shkruani një emër hosti në një shfletues dhe skema vendos portën e destinacionit: 80 për http, 443 për https. Asgjë në një përgjigje DNS nuk e anulon këtë, dhe asnjë rregull përcjelljeje në makinën tuaj nuk mund të shpikë një dëgjues në skajin e ofruesit. Kur një ofrues VPN ju jep një portë publike të lartë si 45000, një URL e qartë funksionon, ndërsa një e pastër jo. Hendeku ndodhet në pikën e hyrjes, jo brenda aplikacionit.

Kaloni një herë rrugën nga shfletuesi në proces, dhe tre opsionet e publikimit nuk duken më misterioze.

Shikoni ku shkon vërtet kërkesa

Shfletuesi e zgjidh emrin në një adresë, pastaj lidhet me atë adresë në portën e paracaktuar të skemës, përveç nëse URL-ja tregon një tjetër. Skaji i ofruesit tuaj vendos çfarë ndodh me lidhjen që vjen. Nëse tabela e përcjelljes së tij lidh vetëm 45000 me adresën tuaj të brendshme, një lidhje në 80 nuk ka ku të shkojë dhe refuzohet ose hidhet poshtë para se makina juaj të përfshihet fare.

Ky refuzim ndodh në skaj, prandaj regjistrat e aplikacionit tuaj nuk tregojnë asgjë. Mungesa e regjistrave është provë për atë se ku u ndal paketa, jo provë se aplikacioni është prishur.

Pse një rregull lokal nuk mund ta rregullojë skajin

Një ridrejtim ose një rregull DNAT në hostin e aplikacionit vepron mbi paketat që kanë mbërritur tashmë. Paketat e dërguara në portën 80 te ofruesi nuk mbërrijnë kurrë, kështu që rregulli nuk vlerësohet kurrë. Kjo është ora më shpesh e humbur në të gjithë problemin.

As DNS nuk mund ta mbajë portën. specifikimi HTTP përcakton vlerat e paracaktuara të skemës, dhe një regjistrim A ose AAAA kthen një adresë ndërsa CNAME kthen një emër tjetër. Shfletuesi vazhdon të bashkojë portën e skemës, kështu që vetëm një portë e qartë në URL ndryshon destinacionin.

Opsioni një: mbani portën e qartë

Shpesh përgjigjja e saktë është ajo pa shkëlqim. Publikoni URL-në e plotë me portën, përfundoni TLS në një hyrje që e mbështet, dhe sigurohuni që çdo lidhje e gjeneruar të mbajë të njëjtën origjinë. Për një audiencë të vogël e të kontrolluar kjo është e plotë, dhe nuk kushton asgjë përveç një numri të dukshëm porte.

Kontrolloni ridrejtimet dhe shtrirjen e cookie-ve ndërsa jeni atje, sepse një backend që shkruan emrin e vet të hostit në një kokë Location e prish këtë rregullim.

Opsioni dy: merrni një hyrje të vërtetë në portën e paracaktuar

Disa ofrues dhe rregullime hostimi përcjellin 80 dhe 443 në një adresë të përbashkët ose të dedikuar si shërbim i dokumentuar. Pyetni çfarë përfshihet në të vërtetë në vend që të supozoni se një adresë publike daljeje nënkupton porta hyrëse arbitrare. Një adresë daljeje e dedikuar nuk thotë asgjë për përcjelljen hyrëse.

Konfirmoni pronësinë dhe disponueshmërinë me shkrim, duke përfshirë çfarë ndodh me hyrjen kur tuneli rilidhet me një adresë tjetër. Një hyrje që lëviz me tunelin prodhon ndërprerje që duken si dështime DNS.

Opsioni tre: vendosni një frontend përpara

Një proxy i kundërt në një adresë të arritshme mund të dëgjojë në 443 dhe të përfundojë TLS dhe të hapë një lidhje të veçantë me backend-in përmes VPN-së. Vizitorët shohin emrin dhe portën e paracaktuar të frontend-it, ndërsa frontend-i flet me portën e lartë të backend-it në emrin tuaj. Kjo funksionon sepse ndryshon arkitekturën në vend që të luftojë me pikën e hyrjes. Backend-i atëherë nuk ka fare nevojë për një portë hyrëse në internetin publik.

Ndryshon gjithashtu atë që operoni. Frontend-i zotëron TLS-in publik, politikën e aksesit, regjistrat dhe disponueshmërinë, dhe duhet të kufizojë zgjedhjen e backend-it te shërbimi i synuar. Nëse kërcyesja nga frontend-i në backend përdor HTTPS, mbani vërtetimin e certifikatës në atë kërcyese.

Mbani një origjinë

Emri publik i hostit, skema dhe porta e frontend-it formojnë origjinën që përdorin vizitorët, prandaj konfiguroni URL-në e jashtme të aplikacionit, ridrejtimet dhe cookie-t për atë origjinë. Dërgoni hostin origjinal dhe skemën e përcjellë nëse aplikacioni ndërton lidhje absolute. Një përgjigje që i kthen përdoruesit te një emër privat ose një portë e lartë e prish hyrjen e pastër që sapo ndërtuat.

Pastaj vendosni duke pasur parasysh audiencën. Një URL e shkurtër mund të justifikojë një frontend të menaxhuar, dhe nuk ia vlen të kthesh pa dashje një shërbim privat vetëm për VPN në një publik.