Skôr než začnete
Spíšte adresy, porty a protokoly a určte správcu oboch koncov. Potvrďte oprávnenia k prefixom a zdrojom. Uchovajte pravidlá, prístupy a pôvodné smerovanie; zmeny pripravte s operátorom a zabezpečte návrat do funkčného stavu.
Proxy musí podporovať protokol
HTTP reverse proxy rieši nastavené HTTP požiadavky, nie automaticky UDP každej hry. NGINX stream môže predávať TCP alebo UDP pri vhodnej konfigurácii; nejde o rovnakú aplikačnú funkciu ako HTTP filter. Overte modul, porty, timeouty a verejné adresy. Dostupná stránka či úspešné TCP spojenie nepreukážu funkčnú hernú UDP cestu, sťahovanie a spätný tok celej služby. Každú časť skúšajte samostatne.
GRE pridáva zapuzdrenie
GRE prenáša pakety v ďalšom sieťovom obale. GRE cez IPv4 používa IP protokol 47, nie TCP port 47. Samotné GRE neposkytuje šifrovanie ani overenie protistrany. Potvrďte povolené konce, filtre a cestu na oboch stranách. Otvorenie náhodného TCP portu nevytvorí tunel ani ochranu; overte možnosti hosta a oprávnenie meniť sieťové pravidlá. Správu tunela oddeľte od verejného herného prístupu.
BGP oznamuje oprávnené prefixy
BGP vymieňa smerovacie informácie, sám nefiltruje každú aplikáciu. Vyžaduje oprávnenie k prefixom, vzťah s operátorom a dohodnuté zásady. Pridelená VPS IP neznamená právo oznamovať celý blok či mať vlastnú BGP reláciu. Potvrďte zodpovednosti a rozsah chráneného transit pred návrhom zmeny. Nerobte pokusy s cudzími prefixmi a nevytvárajte predpoklady o autonómnom systéme iba podľa obchodného názvu ponuky.
Zachovajte návrat a zdrojové adresy
Predávanie musí riešiť oba smery, stav spojení a adresy viditeľné aplikácii. Asymetria môže narušiť stavové filtre. Pred obmedzením zdroja zdokumentujte oprávnené adresy, správu a zdravotné kontroly. Príliš široká dôvera umožní obídenie; úzke pravidlá zablokujú klientov. Overte vstup, odpovede a dlhé spojenia s možnosťou obnoviť pôvodné pravidlá. Zmena verejnej adresy sama neurčuje správnu spätnú trasu ani povolené zdroje.
Overte MTU a väčšie pakety
Zapuzdrenie zmenšuje priestor pre pôvodný paket. Malá skúška môže fungovať, kým väčší prenos zlyhá. Overte MTU trasy, fragmentáciu a potrebné chybové správy pre protokol. TCP MSS sám nerieši všetky UDP problémy. Hodnotu nepreberajte z cudzieho návodu: vychádzajte zo skutočnej trasy, tunela a meraní, následne skontrolujte súbory aj herný tok. Uchovajte predchádzajúce nastavenia na porovnanie výsledku.
Testujte po jednej zmene
Uchovajte návrh a bežné výsledky pred zapojením. V oznámenej údržbe overte správu, HTTP, TCP, UDP a povolené zdroje podľa služby. Funkčný ping neoverí celú aplikáciu. Timeout nie je automatický dôkaz útoku. Odovzdajte operátorovi konkrétny čas a protokol a používajte oprávnené skúšky; intenzívna prevádzka nesmie bez dohody zasiahnuť ostatné služby či zákazníkov rovnakej infraštruktúry. Po zmene overte normálnych používateľov.
Čo robiť vo vašej situácii
| Situácia | Ďalší krok |
|---|---|
| Iba webová služba | Posúďte HTTP proxy, oprávnené zdroje a nastavenia aplikácie. |
| UDP hra na externom serveri | Overte vhodné predávanie či tunel aj spätnú cestu a MTU. |
| Oprávnený sieťový prefix | Dohodnite BGP a chránený transit s operátorom. Pridelená VPS IP nestačí. |
Oficiálne zdroje
Tieto zdroje vysvetľujú uvedené protokoly a nastavenia. Overte dokumentáciu používanej verzie.