Виділена IP-адреса VPN не публікує ваш сайт
Виділена адреса виходу нічого не каже про вхідну доставку. Перевірте договір переадресації, завершіть бік джерела й лише потім публікуйте високий порт.
Купівля виділеної IP у постачальника VPN схожа на купівлю вхідних дверей. Адреса стабільна, тунель піднятий, а сайт усе одно не відкривається нікому ззовні. Те, що ви купили, — це призначення адреси, а не правило вхідної переадресації. І те й те продається в одній крамниці й налаштовується в цілком різних місцях.
Адреса — це призначення, а не правило переадресації
Запишіть вхідну публічну адресу або ім'я хоста, дозволений транспорт, призначений зовнішній порт і клієнтське місце призначення, куди доставляє постачальник. Потім переконайтеся, що вибрані вами сервер, протокол і функція облікового запису справді підтримують переадресацію і що постачальник дозволяє хостинг на ньому.
Слово виділена описує призначення адреси. Воно не означає, що незапитаний вхідний трафік дозволений, і різні доповнення одного оператора можуть мати різні можливості. Виділена адреса і продукт виділений сервер — дві найчастіше плутані позначки, і сторінки підтримки зазвичай уточнюють, яка з них переадресовує.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Приклад договору виглядає так: постачальник доставляє TCP 203.0.113.60:45000 на HTTPS-службу вашого підключеного пристрою через порт 8443. Це опис зіставлення, налаштованого кимось іншим, а не правило, яке ви можете створити на їхньому краї, вписавши його у власний міжмережевий екран.
Завершіть бік джерела
Якщо вебзастосунок працює на самому клієнті VPN, йому потрібен слухач на доставленому порті й обмежений дозвіл на локальне введення для цього порту. Якщо клієнт переадресовує зіставлене з'єднання на інший хост, йому потрібні трансляція адресата, політика переадресації та шлях відповіді, що витримує дорогу туди й назад.
Будуйте правила доступу навколо адреси джерела, яку шлях постачальника справді подає. Це не завжди початковий відвідувач і не завжди сервер VPN, що важливо, коли ви пишете правило, якому відповідала б лише одна з цих адрес.
Трансляція портів теж не перетворює HTTP на HTTPS. Публічний порт і локальний порт застосунку можуть вільно різнитися, але схема, ідентичність сертифіката й перенаправлення все одно мають відповідати службі, до якої люди реально дістаються. Якщо сертифікат називає публічний хост, зберігайте це ім'я на кожному кроці. Невідповідність тут проявляється як попередження браузера, а не як збій маршрутизації, що на годину відправляє людей до неправильних журналів.
Публікуйте високий порт чесно
Якщо відвідувачі підключаються напряму і постачальник призначив високий порт, дайте їм повний URL. Звичайний запис адреси DNS не може додати порт до запиту HTTPS, який за замовчуванням використовує 443, і жодне налаштування TTL цього не змінить.
Вебфронтенд може вирішити це, приймаючи відвідувачів на звичайному порті й встановлюючи власне з'єднання з переадресованим портом джерела. Однак проксі-порти Cloudflare за замовчуванням — це визначений список, і довільно призначений порт не стає підтримуваним портом краю лише тому, що ви додали проксійований запис DNS.
Зміна порту призначення джерела — це інша операція, ніж зміна порту відвідувача. Origin Rules Cloudflare документують перевизначення порту призначення для з'єднання з бекендом, обмежене підтримуваним правилом, схемою та іменем хоста. Перевизначення порту не є універсальним ретранслятором для довільного UDP чи інших протоколів.
Коли фронтенд завершує TLS, перевіряйте обидва кроки: сертифікат від браузера до фронтенду й з'єднання від фронтенду до джерела. Крок VPN не замінює жодної з двох перевірок, а витік внутрішньої адреси в перенаправлення чи файли cookie — звичайна ознака того, що лише один із двох налаштовувався з думкою про публічне ім'я.
Тримайте зіставлення живим
Деякі постачальники виділяють інший порт після повторного підключення, і орендоване зіставлення може вимагати поновлення дією на боці постачальника. Стежте за механізмом, який документує ваш постачальник, і оновлюйте слухач, локальні правила, DNS або правило фронтенду лише там, де цього вимагає поточний договір.
Статична публічна адреса не робить оренду порту статичною. Адреса й порт, які ще показані на панелі, не доводять, що жива сесія володіє зіставленням, тому перевіркою є свіжий запит ззовні, а не знімок екрана.
Потім повторіть випадки, яких чекаєте: звичайне повторне підключення й втрату VPN. Якщо втрата має зробити джерело недоступним, не дозволяйте програмі оновлення тихо опублікувати знову прямий шлях ISP у фоні. І якщо договір переадресації не може виконати вимоги сайту до стабільності, виберіть іншу схему публікації, а не купуйте ще одну позначку адреси й сподівайтеся, що вона поводитиметься як сервер.