Pred začetkom
Navedite naslove, vrata in protokole ter določite skrbnika obeh koncev. Potrdite pravice do predpon in izvorov. Hranite pravila, dostop in stare poti; spremembe pripravite z operaterjem ter zagotovite varno vrnitev v delujoče stanje.
Proxy mora ustrezati protokolu
HTTP reverse proxy obdeluje nastavljen HTTP, ne samodejno UDP vsake igre. NGINX stream lahko prenaša TCP ali UDP ob ustreznih nastavitvah; to ni aplikacijsko HTTP filtriranje. Preverite modul, vrata, časovne omejitve in javne naslove. Dostopna stran ali TCP povezava ne dokaže poti igre, datotek in povratnega prometa. Vsak potrebni del preverite posebej z ustreznim protokolom in pravim odjemalcem.
GRE doda enkapsulacijo
GRE prenaša pakete v dodatnem omrežnem ovoju. Prek IPv4 uporablja IP protokol 47, ne TCP vrat 47. Sam ne daje šifriranja ali preverjanja drugega konca. Potrdite dovoljene konce, filtre in poti na obeh straneh. Naključno odprta TCP vrata ne ustvarijo tunela ali zaščite. Preverite zmožnost gostitelja in dovoljenje za spreminjanje omrežnih pravil pred konfiguriranjem. Upravljanje tunela ločite od javne igre.
BGP objavlja dovoljene predpone
BGP izmenjuje podatke o poteh, sam ne filtrira vsake aplikacije. Zahteva pravice do predpon, odnos z operaterjem in dogovorjene politike. Dodeljen VPS IP ne daje pravice do objave celotnega bloka ali lastne BGP seje. Pred spremembo razjasnite odgovornosti in obseg zaščitenega tranzita. Ne preizkušajte tujih predpon niti ne sklepajte, da imate avtonomni sistem iz imena storitve ali skrbniškega dostopa do virtualnega stroja.
Ohranite povratno pot in izvore
Posredovanje zajema obe smeri, stanje povezav in naslove, vidne aplikaciji. Asimetrija lahko poruši filtre, ki sledijo stanju. Pred omejitvijo dokumentirajte dovoljene izvore, upravljanje in zdravstvene preglede. Široko zaupanje omogoča obhod, ozka pravila blokirajo uporabnike. Preverite vstop, odgovore in dolge povezave z možnostjo prvotnih pravil. Menjava javnega IP sama ne določi prave povratne poti niti vseh potrebnih izvorov in upravljalnih preverjanj.
Preverite MTU in velike pakete
Enkapsulacija zmanjša prostor izvornega paketa. Majhen test lahko deluje, velik prenos pa ne uspe. Preverite MTU poti, fragmentacijo in potrebna sporočila napak. TCP MSS ne reši sam vseh UDP težav. Ne kopirajte vrednosti tujega primera: uporabite pravo pot, tunel in meritve ter preverite datoteke in igro. Hranite stare vrednosti za primerjavo in obnovitev, če se test po spremembi ne izide.
Preizkusite eno spremembo
Hranite načrt in normalne rezultate pred vključitvijo. V napovedanem vzdrževanju preverite upravljanje, HTTP, TCP, UDP in dovoljene izvore. Ping ne preizkusi cele aplikacije. Timeout ni samodejno napad. Operaterju dajte čas in protokol ter uporabljajte dovoljene preizkuse. Intenziven promet brez dogovora ne sme zajeti drugih storitev ali naročnikov. Po pomembni spremembi preverite prave uporabnike in pripravljeno vrnitev, ne samo posameznega diagnostičnega odgovora.
Kaj storiti v vašem primeru
| Primer | Naslednji korak |
|---|---|
| Samo web storitev | Ocenite HTTP proxy, dovoljene izvore in aplikacijske nastavitve. |
| UDP igra na zunanjem strežniku | Potrdite posredovanje ali tunel, povratno pot in MTU. |
| Dovoljena omrežna predpona | Dogovorite BGP in zaščiten tranzit z operaterjem. Dodeljen VPS IP ne zadostuje. |
Uradni viri
Viri pojasnjujejo protokole in nastavitve. Preverite dokumentacijo uporabljene različice.