IP VPN riêng không công bố trang web của bạn
Một địa chỉ ra riêng không nói lên điều gì về việc phân phối vào. Hãy kiểm tra hợp đồng chuyển tiếp, hoàn tất phía nguồn, rồi mới công bố một cổng cao.
Mua IP riêng từ nhà cung cấp VPN giống như mua một cánh cửa trước. Địa chỉ ổn định, đường hầm đã lên, mà trang web vẫn không tải được cho bất kỳ ai bên ngoài. Thứ bạn đã mua là một sự cấp phát, không phải quy tắc chuyển tiếp vào. Cả hai được bán trong cùng một cửa hàng và được cấu hình ở những nơi hoàn toàn khác nhau.
Địa chỉ là sự cấp phát, không phải quy tắc chuyển tiếp
Ghi lại địa chỉ công cộng vào hoặc tên máy chủ, giao thức truyền được phép, cổng ngoài được cấp và đích phía máy khách mà nhà cung cấp chuyển tới. Sau đó xác nhận rằng máy chủ, giao thức và tính năng tài khoản bạn chọn thực sự hỗ trợ chuyển tiếp, và nhà cung cấp cho phép lưu trữ trên đó.
Từ riêng mô tả việc cấp phát địa chỉ. Nó không có nghĩa là lưu lượng vào không được yêu cầu được phép, và các tiện ích khác nhau của cùng một nhà điều hành có thể có khả năng khác nhau. Địa chỉ riêng và sản phẩm máy chủ riêng là hai nhãn hay bị nhầm lẫn nhất, và các trang hỗ trợ thường nói rõ cái nào chuyển tiếp.
| What you have | What it gives you | What it does not |
|---|---|---|
| Dedicated exit address | A stable source address for outbound traffic | Any inbound delivery at all |
| Port-forwarding add-on | A provider-side mapping to your session | Permanence across reconnects |
| Local DNAT rule | Handling for packets that arrive | Making packets arrive |
Một hợp đồng minh họa trông như sau: nhà cung cấp chuyển TCP 203.0.113.60:45000 tới dịch vụ HTTPS của thiết bị đã kết nối của bạn trên cổng 8443. Đó là mô tả một ánh xạ do người khác cấu hình, không phải quy tắc bạn có thể tạo ở biên của họ bằng cách gõ nó vào tường lửa của chính bạn.
Hoàn tất phía nguồn
Nếu ứng dụng web chạy trên chính máy khách VPN, nó cần một trình lắng nghe trên cổng được chuyển tới và quyền nhập cục bộ có phạm vi cho cổng đó. Nếu máy khách chuyển tiếp kết nối đã ánh xạ sang máy chủ khác, nó cần bản dịch đích, chính sách chuyển tiếp và đường phản hồi chịu được cả đi lẫn về.
Thiết kế các quy tắc truy cập quanh địa chỉ nguồn mà đường đi của nhà cung cấp thực sự trình ra. Đó không phải lúc nào cũng là khách truy cập gốc, và cũng không phải lúc nào cũng là máy chủ VPN, điều này quan trọng khi bạn viết một quy tắc mà chỉ một trong những địa chỉ đó khớp.
Bản dịch cổng cũng không biến HTTP thành HTTPS. Cổng công cộng và cổng ứng dụng cục bộ có thể khác nhau tùy ý, nhưng lược đồ, danh tính chứng chỉ và chuyển hướng vẫn phải khớp với dịch vụ mà mọi người thực sự tiếp cận. Nếu chứng chỉ nêu tên máy chủ công cộng, hãy giữ tên đó ở mọi chặng. Sự không khớp ở đây hiện ra như cảnh báo trình duyệt chứ không phải lỗi định tuyến, khiến người ta mất một giờ nhìn nhầm nhật ký.
Công bố cổng cao một cách trung thực
Nếu khách truy cập kết nối trực tiếp và nhà cung cấp đã cấp một cổng cao, hãy cho họ URL đầy đủ. Một bản ghi địa chỉ DNS thông thường không thể thêm cổng vào yêu cầu HTTPS vốn mặc định dùng 443, và không mức chỉnh TTL nào thay đổi được điều đó.
Một frontend web có thể giải quyết bằng cách nhận khách truy cập trên cổng thông thường và tự tạo kết nối tới cổng nguồn đã chuyển tiếp. Tuy nhiên các cổng proxy mặc định của Cloudflare là một danh sách xác định, và một cổng được cấp tùy ý không trở thành cổng biên được hỗ trợ chỉ vì bạn đã thêm một bản ghi DNS có proxy.
Thay đổi cổng đích của nguồn là thao tác khác với thay đổi cổng của khách truy cập. Origin Rules của Cloudflare ghi nhận việc ghi đè cổng đích cho kết nối backend, giới hạn trong một quy tắc, lược đồ và tên máy chủ được hỗ trợ. Ghi đè cổng không phải là rơ-le tổng quát cho UDP tùy ý hay các giao thức khác.
Khi một frontend kết thúc TLS, hãy xác thực cả hai chặng: chứng chỉ từ trình duyệt tới frontend và kết nối từ frontend tới nguồn. Chặng VPN không thay thế cả hai kiểm tra, và việc địa chỉ nội bộ rò rỉ vào chuyển hướng hoặc cookie là dấu hiệu thường thấy rằng chỉ một trong hai được cấu hình với tên công cộng trong đầu.
Giữ cho ánh xạ còn sống
Một số nhà cung cấp cấp cổng khác sau khi kết nối lại, và một ánh xạ thuê có thể cần gia hạn thông qua thao tác phía nhà cung cấp. Theo dõi cơ chế mà nhà cung cấp của bạn ghi nhận, và chỉ cập nhật trình lắng nghe, quy tắc cục bộ, DNS hoặc quy tắc frontend ở nơi hợp đồng hiện tại yêu cầu.
Một địa chỉ công cộng tĩnh không làm cho việc thuê cổng thành tĩnh. Địa chỉ và cổng còn hiển thị trên bảng điều khiển không phải bằng chứng rằng phiên đang chạy sở hữu ánh xạ, vì thế phép thử là một yêu cầu mới từ bên ngoài chứ không phải ảnh chụp màn hình.
Sau đó lặp lại các trường hợp bạn mong đợi: một lần kết nối lại bình thường và một lần mất VPN. Nếu mất kết nối phải làm nguồn không truy cập được, đừng để trình cập nhật âm thầm công bố lại một đường ISP trực tiếp ở chế độ nền. Và nếu hợp đồng chuyển tiếp không đáp ứng được yêu cầu ổn định của trang, hãy chọn một cách công bố khác thay vì mua thêm một nhãn địa chỉ rồi hy vọng nó cư xử như máy chủ.