Skôr než začnete
Spíšte adresy, porty a protokoly a určte správcu oboch koncov. Potvrďte oprávnenia k prefixom a zdrojom. Uchovajte pravidlá, prístupy a pôvodné smerovanie; zmeny pripravte s operátorom a zabezpečte návrat do funkčného stavu.
Proxy musí podporovať protokol
HTTP reverse proxy rieši nastavené HTTP požiadavky, nie automaticky UDP každej hry. NGINX stream môže predávať TCP alebo UDP pri vhodnej konfigurácii; nejde o rovnakú aplikačnú funkciu ako HTTP filter. Overte modul, porty, timeouty a verejné adresy. Dostupná stránka či úspešné TCP spojenie nepreukážu funkčnú hernú UDP cestu, sťahovanie a spätný tok celej služby. Každú časť skúšajte samostatne.
Pre FiveM samostatné koncové body pripojenia, súbory a hrateľnosť. Skontrolujte inzerované adresy a služby, ktoré zostávajú priame. Zistite, či sú adresy klientov zachované, aké informácie dosahujú pôvod a ktoré pravidlá dôveryhodnosti zodpovedajú vašej verzii.
GRE pridáva zapuzdrenie
GRE prenáša pakety v ďalšom sieťovom obale. GRE cez IPv4 používa IP protokol 47, nie TCP port 47. Samotné GRE neposkytuje šifrovanie ani overenie protistrany. Potvrďte povolené konce, filtre a cestu na oboch stranách. Otvorenie náhodného TCP portu nevytvorí tunel ani ochranu; overte možnosti hosta a oprávnenie meniť sieťové pravidlá. Správu tunela oddeľte od verejného herného prístupu.
Skontrolujte, či vybavenie a siete umožňujú GRE. V IPv4 používa na otvorenie číslo protokolu IP, nie jednoducho port TCP alebo UDP. Encapsulation pridáva hlavičky: prispôsobte a otestujte efektívnu MTU, trasy a spiatočnú cestu. Pripojenie pracujúce s malými paketmi môže stále zlyhať s väčšími paketmi.
BGP oznamuje oprávnené prefixy
BGP vymieňa smerovacie informácie, sám nefiltruje každú aplikáciu. Vyžaduje oprávnenie k prefixom, vzťah s operátorom a dohodnuté zásady. Pridelená VPS IP neznamená právo oznamovať celý blok či mať vlastnú BGP reláciu. Potvrďte zodpovednosti a rozsah chráneného transit pred návrhom zmeny. Nerobte pokusy s cudzími prefixmi a nevytvárajte predpoklady o autonómnom systéme iba podľa obchodného názvu ponuky.
Potrebujete smerovaciu zmluvu, autorizované zdroje a predpoklady poskytovateľa. Oznamovanie prefixov tretích strán si vyžaduje skutočné oprávnenie. Akceptované veľkosti predpony, filtre a procesy overovania sa medzi operátormi líšia. Adresa VPS automaticky nezaručuje právo alebo schopnosť oznámiť predponu na internete.
Zachovajte návrat a zdrojové adresy
Predávanie musí riešiť oba smery, stav spojení a adresy viditeľné aplikácii. Asymetria môže narušiť stavové filtre. Pred obmedzením zdroja zdokumentujte oprávnené adresy, správu a zdravotné kontroly. Príliš široká dôvera umožní obídenie; úzke pravidlá zablokujú klientov. Overte vstup, odpovede a dlhé spojenia s možnosťou obnoviť pôvodné pravidlá. Zmena verejnej adresy sama neurčuje správnu spätnú trasu ani povolené zdroje.
Identifikujte aj obchádzkové cesty: staré adresy, sekundárne DNS, súbory, hlasové alebo administračné nástroje. Pred obmedzením pôvodu si overte legitímne zdroje a požadované služby. Vzdialená ochrana neodstraňuje potrebu kontrolovať priamu expozíciu cieľa.
Overte MTU a väčšie pakety
Zapuzdrenie zmenšuje priestor pre pôvodný paket. Malá skúška môže fungovať, kým väčší prenos zlyhá. Overte MTU trasy, fragmentáciu a potrebné chybové správy pre protokol. TCP MSS sám nerieši všetky UDP problémy. Hodnotu nepreberajte z cudzieho návodu: vychádzajte zo skutočnej trasy, tunela a meraní, následne skontrolujte súbory aj herný tok. Uchovajte predchádzajúce nastavenia na porovnanie výsledku.
Zmeňte jeden komponent po druhom s dostupnou konfiguráciou návratu. Koordinujte a obmedzte akékoľvek testovacie zaťaženie. Súčasná zmena DNS, proxy, tunela a firewallu sťažuje identifikáciu, prečo test zlyhá.
Testujte po jednej zmene
Uchovajte návrh a bežné výsledky pred zapojením. V oznámenej údržbe overte správu, HTTP, TCP, UDP a povolené zdroje podľa služby. Funkčný ping neoverí celú aplikáciu. Timeout nie je automatický dôkaz útoku. Odovzdajte operátorovi konkrétny čas a protokol a používajte oprávnené skúšky; intenzívna prevádzka nesmie bez dohody zasiahnuť ostatné služby či zákazníkov rovnakej infraštruktúry. Po zmene overte normálnych používateľov.
Porovnajte zodpovednosti, aktuálnu dostupnosť, prevádzkové limity a ceny pre zvolený rozsah. Kombinácia mechanizmov môže pomôcť, ale každá vrstva pridáva nastavenia a požiadavky na monitorovanie. Uchovajte si jednoduchý popis, ktorý môže overiť váš tím a poskytovateľ spoločne.
Čo robiť vo vašej situácii
| Situácia | Ďalší krok |
|---|---|
| Iba webová služba | Posúďte HTTP proxy, oprávnené zdroje a nastavenia aplikácie. |
| UDP hra na externom serveri | Overte vhodné predávanie či tunel aj spätnú cestu a MTU. |
| Oprávnený sieťový prefix | Dohodnite BGP a chránený transit s operátorom. Pridelená VPS IP nestačí. |
Oficiálne zdroje
Tieto zdroje vysvetľujú uvedené protokoly a nastavenia. Overte dokumentáciu používanej verzie.