Než začnete
Sepište adresy, přidělené porty a protokoly a určete, kdo spravuje oba konce. Potvrďte oprávnění k prefixům a zdrojům. Uchovejte pravidla, přístupy a původní směrování; změny plánujte s operátorem a připravte bezpečný návrat.
Proxy musí odpovídat protokolu
HTTP reverse proxy zpracovává nastavený HTTP provoz, nikoli automaticky UDP každé hry. NGINX stream může předávat TCP či UDP při vhodné konfiguraci; to není stejná aplikovaná funkce jako HTTP filtr. Ověřte konkrétní modul, porty, timeouty a zveřejněné adresy. Dostupná stránka nebo úspěšné TCP spojení neprokazují funkční herní UDP cestu, stahování a návrat celého provozu.
GRE přidává zapouzdření
GRE přenáší pakety uvnitř dalšího síťového obalu. GRE přes IPv4 používá IP protokol 47, nikoli TCP port 47. Samotný GRE neposkytuje šifrování ani ověření protistrany. Potvrďte povolené konce, filtrování a cestu na obou stranách. Otevření náhodného TCP portu nevytvoří tunel a nepřinese potřebnou ochranu; ověřte skutečné možnosti hostu a oprávnění ke změně síťových pravidel.
BGP oznamuje oprávněné prefixy
BGP vyměňuje směrovací informace, sám nefiltruje každou aplikaci. Vyžaduje správné oprávnění k prefixům, vztah s operátorem a odsouhlasené zásady. Běžná přidělená VPS IP neznamená právo oznamovat celý blok či vlastní BGP relaci. Potvrďte odpovědnosti a rozsah chráněného transit před návrhem změny. Nedělejte pokusy s cizími prefixy ani předpoklady o autonomním systému z názvu služby.
Zachovejte návrat a zdrojové adresy
Předávání musí řešit obě cesty, stav spojení a adresy viditelné aplikaci. Asymetrie může poškodit stavové filtry. Před omezením přímého zdroje zdokumentujte oprávněné adresy, správu a zdravotní kontroly. Příliš široká důvěra umožní obejití; příliš úzká zablokuje uživatele. Vyzkoušejte nejen vstup, ale i odpovědi serveru a dlouhá spojení, s možností obnovit původní pravidla při nečekaném výsledku.
Ověřte MTU a velké pakety
Zapouzdření snižuje prostor dostupný původnímu paketu. Malý test může fungovat, zatímco větší přenos selže. Prověřte MTU cesty, fragmentaci a potřebné chybové zprávy pro protokol. TCP MSS neřeší samo všechny potíže UDP. Hodnotu neodhadujte z cizího návodu: vycházejte ze skutečné trasy, tunelu a měření, pak ověřte soubory i herní provoz po změně.
Testujte po jedné změně
Uchovejte návrh a běžné výsledky před zapojením. V oznámené údržbě zkontrolujte správu, HTTP, TCP, UDP a povolené zdroje podle služby. Přežívající ping neověří celou aplikaci. Timeout není automatickým důkazem útoku. Sdílejte konkrétní čas a protokol s operátorem a používejte oprávněné testy; intenzivní provoz nesmí bez dohody zasáhnout další služby či zákazníky stejné infrastruktury.
Co dělat ve vaší situaci
| Situace | Další krok |
|---|---|
| Pouze webová služba | Posuďte HTTP proxy, oprávněné zdroje a nastavení samotné aplikace. |
| Hra s UDP na externím stroji | Ověřte odpovídající předávání či tunel a zpětnou cestu i MTU. |
| Oprávněný síťový prefix | Dohodněte BGP a chráněný transit s operátorem. Přidělená IP VPS nestačí. |
Oficiální zdroje
Tyto zdroje vysvětlují uvedené protokoly a nastavení. Ověřte dokumentaci pro používanou verzi.