Vorbereitung
Erstellen Sie einen Plan mit öffentlichem Endpunkt, Ursprung, Protokollen und Rückweg. Halten Sie Berechtigungen für die betroffenen Adressen und Netze sowie die Vereinbarungen mit dem Betreiber bereit. Änderungen an Routing und Filtern benötigen Sicherungen, ein Wartungsfenster und einen kontrollierten Rückweg.
Zuerst die Aufgabe festlegen
Soll eine HTTP-Anwendung vorgeschaltet erreicht werden, ein TCP- oder UDP-Dienst weitergeleitet werden oder ein gesamtes autorisiertes IP-Präfix über ein anderes Netz angekündigt werden? Diese Fragen sind verschieden und führen nicht automatisch zu derselben Lösung.
Notieren Sie auch, ob die ursprüngliche Clientadresse erhalten bleiben muss und welches Verhalten die Anwendung erwartet. Ein Produktname erklärt weder den Rückweg noch die erlaubten Dienste. Lassen Sie die konkrete Topologie bestätigen, bevor Sie Konfigurationen aus allgemeinen Beispielen übernehmen.
GRE als Tunnel verstehen
GRE kapselt Pakete zwischen Endpunkten. Bei IPv4 wird das IP-Protokoll 47 verwendet; dies ist kein TCP-Port 47. Der Tunnel schafft einen Transportweg und kann für die Übergabe gefilterten Verkehrs eingesetzt werden, wenn beide Seiten dafür eingerichtet sind.
GRE liefert allein keine Verschlüsselung oder Authentifizierung. Endpunkte, zulässige Quellen und der Rückweg müssen abgesichert werden. Prüfen Sie außerdem die zusätzliche Paketgröße: Durch Kapselung kann die nutzbare MTU kleiner werden, was bestimmte Verbindungen beeinflusst.
HTTP und Stream-Proxys unterscheiden
Ein HTTP-Reverse-Proxy arbeitet mit HTTP-Anfragen und kann dazu passende Regeln anwenden. Für andere TCP- oder UDP-Dienste ist eine geeignete Transportweiterleitung nötig. NGINX trennt beispielsweise HTTP-Konfiguration und das Stream-Modul für TCP beziehungsweise UDP.
Prüfen Sie Sitzungslängen, Timeouts und das Verhalten bei UDP. Eine funktionierende Webseite beweist nicht, dass der Spielverkehr korrekt weitergeleitet wird. Auch die Weitergabe der Clientadresse hängt davon ab, welche Verfahren der Ursprung tatsächlich unterstützt.
BGP setzt Berechtigungen und Betrieb voraus
BGP dient dem Austausch von Routinginformationen. Eine Ankündigung eines Präfixes benötigt dafür autorisierte Ressourcen, Betreibervereinbarungen und passende Routingrichtlinien. Eine beliebige VPS-Adresse ist kein automatisch frei ankündigbares Netz.
BGP filtert nicht von selbst schädliche Anfragen. Geschützter Transit kombiniert Routing mit der vorgesehenen Filterung und Übergabe. Kläre, wer Ankündigungen, Rückwege und Störungen betreut und welche Präfixgrößen sowie weiteren Bedingungen der Anbieter zulässt.
MTU und Rückweg praktisch prüfen
Testen Sie nicht nur kleine Pakete oder einen einzelnen Port. Übertragen Sie typische Nutzdaten und prüfen Sie den wirklichen Dienst. Probleme durch Kapselung oder eine fehlerhafte Pfad-MTU können erst bei größeren Übertragungen sichtbar werden, obwohl ein einfacher Verfügbarkeitstest funktioniert.
Asymmetrische Wege können bei zustandsbehafteten Komponenten eine Rolle spielen. Zeichne deshalb beide Richtungen auf und vergleiche sie mit der vorgesehenen Konfiguration. Ändere keine globalen MTU- oder Routingwerte, ohne die Auswirkungen auf andere Dienste zu prüfen.
Die Lösung anhand des Betriebs auswählen
Ein einzelner Webdienst hat andere Anforderungen als mehrere Spielprotokolle oder ein eigenes Netz. Berücksichtigen Sie Zuständigkeit, Überwachung, Wiederherstellung und die Arbeit bei einem Ausfall. Die technisch weitreichendste Methode ist nicht automatisch die beste für ein kleines Projekt.
Prüfen Sie vor der Umstellung dieselben Anwendungen im geplanten Aufbau. Dokumentieren Sie erfolgreiche Verbindungen, Verzögerung, Paketverlust und Einschränkungen. Ein Angebot muss seine tatsächlichen Leistungen und Voraussetzungen erklären; dedizierte Kapazität oder universeller L7-Schutz folgen aus keiner dieser Methoden allein.
Was zu Ihrer Situation passt
| Situation | Nächste Prüfung |
|---|---|
| Ein HTTP-Dienst | Prüfen Sie einen HTTP-Reverse-Proxy mit passenden Ursprungsregeln und einer gesonderten Absicherung der Verwaltung. |
| Mehrere TCP/UDP-Dienste | Vergleichen Sie Tunnel oder passende Transportweiterleitung einschließlich MTU, Clientadressen und Rückweg. |
| Ein eigenes autorisiertes IP-Netz | Kläre BGP-, Transit- und Präfixbedingungen mit dem Betreiber. Eine einzelne zugewiesene VPS-IP reicht dafür nicht aus. |
Offizielle Quellen
Diese Dokumente erläutern die jeweiligen Protokolle und Programme. Prüfen Sie zusätzlich die Bedingungen und die tatsächliche Konfiguration Ihres Dienstes.