Пре почетка
Наведите адресе, портове и протоколе и утврдите управитеља оба краја. Потврдите права на префиксе и изворе. Чувајте правила, приступ и старе путеве; промене планирајте са оператором и припремите безбедан повратак у радно стање.
Proxy мора одговарати протоколу
HTTP reverse proxy обрађује подешен HTTP, не аутоматски UDP сваке игре. NGINX stream може преносити TCP или UDP са исправним подешавањем; то није апликационо HTTP филтрирање. Проверите модул, портове, timeout и јавне адресе. Доступна страница или TCP веза не доказују пут игре, датотеке и повратни саобраћај. Сваку потребну компоненту тестирајте посебно са одговарајућим протоколом и стварним клијентом.
За FiveM, одвојене крајње тачке везе, датотеке и играње. Проверите оглашене адресе и услуге које остају директне. Утврдите да ли су адресе клијената сачуване, које информације стижу до порекла и која правила поверења одговарају вашој верзији.
GRE додаје енкапсулацију
GRE преноси пакете у додатном мрежном омотачу. Преко IPv4 користи IP протокол 47, не TCP порт 47. Сам не даје шифровање или аутентификацију другог краја. Потврдите дозвољене крајеве, филтере и путеве са обе стране. Насумично отварање TCP порта не ствара тунел или заштиту. Проверите могућности хоста и овлашћење за измену мрежних правила пре конфигурисања. Управљање тунелом држите одвојено од јавне игре.
Проверите да ли опрема и мреже дозвољавају GRE. У IPv4 користи број протокола IP, уместо једноставно TCP или UDP порт за отварање. Енкапсулација додаје заглавља: прилагодите и тестирајте ефективни МТУ, руте и повратну путању. Веза која ради са малим пакетима можда и даље не успе са већим пакетима.
BGP објављује дозвољене префиксе
BGP размењује информације о путевима, сам не филтрира сваку апликацију. Тражи право на префиксе, однос са оператором и договорене политике. Додељена VPS IP не даје право објаве целог блока или сопствене BGP сесије. Пре промене разјасните одговорности и обим заштићеног транзита. Не експериментишите са туђим префиксима нити закључујте да имате аутономни систем из назива услуге или административног приступа својој виртуелној машини.
Потребан вам је уговор о рутирању, овлашћени ресурси и предуслови добављача. Најављивање префикса трећих страна захтева стварно овлашћење. Прихваћене величине префикса, филтери и процеси валидације варирају између оператера. Адреса VPS не даје аутоматски право или могућност објављивања префикса на интернету.
Сачувајте повратак и изворе
Прослеђивање обухвата оба смера, стање веза и адресе видљиве апликацији. Асиметрија може пореметити филтере који прате стање. Пре ограничења документујте дозвољене изворе, управљање и здравствене провере. Широко поверење омогућава заобилажење, уска правила блокирају клијенте. Тестирајте улаз, одговоре и дуге везе са могућношћу изворних правила. Промена јавне IP сама не одређује исправан повратни пут нити све потребне изворе и административне провере.
Идентификујте и путање заобилажења: старе адресе, секундарне DNS, датотеке, гласовне или административне алате. Пре него што ограничите порекло, проверите легитимне изворе и потребне услуге. Даљинска заштита не уклања потребу за контролом директног излагања одредишта.
Проверите MTU и велике пакете
Енкапсулација смањује простор изворног пакета. Мали тест може радити док велики пренос не успева. Проверите MTU пута, фрагментацију и потребне поруке грешке. TCP MSS не решава сам све UDP проблеме. Не копирајте вредност туђег примера: користите стварни пут, тунел и мерење па проверите датотеке и игру. Чувајте претходне вредности за поређење и опоравак ако тест после промене не успе.
Мењајте једну по једну компоненту са доступном конфигурацијом за враћање назад. Координирајте и ограничите свако тестно оптерећење. Промена DNS, проксија, тунела и заштитног зида истовремено отежава идентификацију зашто тест не успе.
Пробајте једну промену
Чувајте план и нормалне резултате пре укључивања. У најављеном одржавању проверите управљање, HTTP, TCP, UDP и дозвољене изворе. Ping не тестира целу апликацију. Timeout није аутоматски напад. Оператору дајте време и протокол и користите овлашћене тестове. Интензиван саобраћај без договора не сме обухватити друге услуге или клијенте. После важне промене проверите стварне кориснике и припремљен повратак, не само једну дијагностичку поруку.
Упоредите одговорности, стварну доступност, ограничења саобраћаја и цене за изабрани опсег. Комбиновање механизама може помоћи, али сваки слој додаје подешавања и захтеве за праћење. Задржите једноставан опис који ваш тим и провајдер могу заједно да верификују.
Шта урадити у вашој ситуацији
| Ситуација | Следећи корак |
|---|---|
| Само web услуга | Оцените HTTP proxy, дозвољене изворе и апликациона подешавања. |
| UDP игра на спољном серверу | Потврдите прослеђивање или тунел, повратак и MTU. |
| Овлашћен мрежни префикс | Договорите BGP и заштићени транзит са оператором. Додељена VPS IP није довољна. |
Званични извори
Извори објашњавају протоколе и подешавања. Проверите документацију верзије коју користите.