Дедикована VPN IP адреса не објављује ваш сајт
Дедикована излазна адреса ништа не говори о долазној испоруци. Проверите уговор о прослеђивању, завршите страну извора и затим објавите висок порт.
Куповина дедиковане IP адресе од VPN провајдера изгледа као куповина улазних врата. Адреса је стабилна, тунел је подигнут, а сајт се ипак не учитава никоме споља. Оно што сте купили је додела адресе, а не правило за долазно прослеђивање. Оба се продају у истој продавници и конфигуришу на потпуно различитим местима.
Адреса је додела, а не правило прослеђивања
Забележите долазну јавну адресу или име хоста, дозвољени транспорт, додељени спољни порт и одредиште на страни клијента коме провајдер испоручује. Затим потврдите да изабрани сервер, протокол и функција налога заиста подржавају прослеђивање и да провајдер дозвољава хостовање на њему.
Дедиковано описује доделу адресе. То не значи да је дозвољен непожељан долазни саобраћај, а различити додаци истог оператера могу имати различите могућности. Дедикована адреса и производ дедиковани сервер су две ознаке које се најчешће мешају, а странице подршке обично појашњавају која од њих прослеђује.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Илустративни уговор изгледа овако: провајдер испоручује TCP 203.0.113.60:45000 HTTPS услузи вашег повезаног уређаја на порту 8443. То је опис мапирања које је конфигурисао неко други, а не правило које можете створити на њиховој ивици уписујући га у сопствени заштитни зид.
Завршите страну извора
Ако веб апликација ради на самом VPN клијенту, потребан јој је слушалац на испорученом порту и ограничена дозвола за локални улаз на том порту. Ако клијент прослеђује мапирану везу на други хост, потребни су му превод одредишта, политика прослеђивања и пут одговора који издржава одлазак и повратак.
Пројектујте правила приступа око изворне адресе коју пут провајдера заиста представља. То није увек првобитни посетилац, а није увек ни VPN сервер, што је важно када пишете правило на које би одговарала само једна од тих адреса.
Ни превод портова не претвара HTTP у HTTPS. Јавни порт и локални порт апликације могу слободно да се разликују, али шема, идентитет сертификата и преусмеравања и даље морају да одговарају услузи до које људи заиста стижу. Ако сертификат наводи јавни хост, задржите то име на сваком кораку. Неслагање се овде показује као упозорење прегледача, а не као грешка усмеравања, што људе шаље на погрешне дневнике на сат времена.
Објавите високи порт искрено
Ако се посетиоци повезују директно и провајдер је доделио висок порт, дајте им пуну URL адресу. Обичан DNS запис адресе не може да дода порт HTTPS захтеву који подразумевано користи 443, и никакво подешавање TTL-а то не мења.
Веб фронтенд може то да реши прихватањем посетилаца на уобичајеном порту и успостављањем сопствене везе ка прослеђеном порту извора. Међутим, подразумевани прокси портови Cloudflare-а су дефинисана листа, а произвољно додељен порт не постаје подржан ивични порт само зато што сте додали проксирани DNS запис.
Промена одредишног порта извора је другачија операција од промене порта посетиоца. Cloudflare-ови Origin Rules документују замену одредишног порта за везу са бекендом, ограничену на подржано правило, шему и име хоста. Замена порта није универзални релеј за произвољни UDP или друге протоколе.
Када фронтенд заврши TLS, проверите оба корака: сертификат од прегледача до фронтенда и везу од фронтенда до извора. VPN корак не замењује ниједну од две провере, а цурење интерне адресе у преусмеравања или колачиће је уобичајен знак да је само једна од две конфигурисана имајући у виду јавно име.
Одржите мапирање живим
Неки провајдери додељују други порт након поновног повезивања, а изнајмљено мапирање може захтевати обнову кроз радњу на страни провајдера. Пратите механизам који ваш провајдер документује и ажурирајте слушаоца, локална правила, DNS или правило фронтенда само тамо где то захтева тренутни уговор.
Статична јавна адреса не чини закуп порта статичним. Адреса и порт који се још приказују на контролној табли нису доказ да активна сесија поседује мапирање, зато је тест нови захтев споља, а не снимак екрана.
Затим поновите случајеве које очекујете: нормално поновно повезивање и губитак VPN-а. Ако губитак треба да учини извор недоступним, не дозволите ажурирачу да тихо поново објави директан ISP пут у позадини. И ако уговор о прослеђивању не може да испуни захтеве сајта за стабилношћу, изаберите други распоред објављивања уместо да купите још једну ознаку адресе и надате се да ће се понашати као сервер.