Перед початком
Перелічіть адреси, порти й протоколи. Підтвердьте відповідальних з обох боків та права на префікси. Збережіть робочі правила, залиште окреме керування й погодьте відновлення з оператором до зміни виробничих маршрутів.
Проксі має відповідати протоколу
HTTP reverse proxy обробляє налаштований HTTP, а не автоматично UDP гри. NGINX stream може пересилати TCP або UDP з потрібним модулем і налаштуваннями, але не є HTTP-фільтром прикладного шару. Перевірте адреси, порти й час очікування. Тестуйте справжній клієнт і файли окремо: одна сторінка не підтверджує всю послугу.
Для FiveM розділіть кінцеві точки підключення, файли та ігровий процес. Перевірте рекламовані адреси та служби, які залишаються прямими. Встановіть, чи зберігаються адреси клієнтів, яка інформація досягає джерела та які правила довіри відповідають вашій версії.
GRE інкапсулює пакети
GRE поверх IPv4 використовує IP-протокол 47, а не TCP-порт 47. Сам він не забезпечує шифрування чи автентифікації іншого боку. Підтвердьте дозволені точки та фільтри з обох сторін. Робочий тунель не доводить пересилання ігрового трафіку; перевірте саму послугу й відповіді клієнту, а не лише статус тунелю в панелі.
Перевірте, чи обладнання та мережі дозволяють GRE. У IPv4 для відкриття використовується номер протоколу IP, а не просто порт TCP або UDP. Інкапсуляція додає заголовки: адаптуйте та перевіряйте ефективний MTU, маршрути та шлях повернення. З'єднання, що працює з малими пакетами, все одно може вийти з ладу з більшими пакетами.
Перевірте джерела та зворотний шлях
Збереження початкових адрес клієнта потребує відповідного маршруту відповідей. NAT може змінити джерело, яке бачить сервер, і зворотне пересилання. Опишіть обидва напрямки та асиметричну маршрутизацію. Пакети можуть доходити до origin, але з’єднання не працює, бо відповідь виходить не тим інтерфейсом або фільтри іншого шляху не відповідають конфігурації.
Вам потрібна угода про маршрутизацію, авторизовані ресурси та попередні умови постачальника. Для оголошення сторонніх префіксів потрібен справжній дозвіл. Прийнятні розміри префіксів, фільтри та процеси перевірки залежать від оператора. Адреса VPS не надає автоматично права або можливості оголошувати префікс в Інтернеті.
BGP потребує підтверджених прав
BGP обмінюється маршрутною інформацією між мережами; сам він не фільтрує ігрові пакети. Оголошуйте лише префікси, дозволені договором і повноваженнями. VPS-адреса автоматично не дає права оголошувати всю мережу. Погодьте походження, політику, оголошення та повернення з операторами виробничої мережі до зміни публічних маршрутів, а не після початку збоїв.
Також визначте шляхи обходу: старі адреси, вторинні DNS, файли, голос або засоби адміністрування. Перш ніж обмежувати походження, перевірте законні джерела та необхідні служби. Дистанційний захист не усуває необхідності контролювати пряму експозицію пункту призначення.
Тестуйте MTU справжніми пакетами
Інкапсуляція займає додаткове місце. Неправильна MTU може порушувати великі передавання, хоча малий ping працює. Перевірте path MTU, потрібні службові повідомлення та можливу фрагментацію. Використовуйте дозволений файловий та ігровий трафік, схожий на нормальну роботу. Змінюйте один параметр, щоб знайти виправлення, яке справді усуває збій і може бути відтворене.
Змінюйте один компонент за раз із доступною конфігурацією відкоту. Координуйте та обмежуйте будь-яке тестове навантаження. Одночасна зміна DNS, проксі, тунелю та брандмауера ускладнює визначення причини невдачі тесту.
Підтверджуйте поступово
Перевірте TCP, UDP, файли, керування та відповіді з незалежних мереж. Порівняйте RTT і втрати за подібного навантаження. Спершу перенесіть обмежену послугу та запишіть умови повернення. Зелений тунель або доступна сторінка не доводять роботи всієї гри, її залежностей і справжніх клієнтських з’єднань у кожному запланованому напрямку.
Порівняйте обов’язки, фактичну доступність, обмеження трафіку та ціни для вибраного обсягу. Комбінування механізмів може допомогти, але кожен рівень додає налаштування та вимоги до моніторингу. Зберігайте простий опис, який ваша команда та постачальник можуть перевірити разом.
Що робити у вашій ситуації?
| Ситуація | Наступний крок |
|---|---|
| Посередник потрібен лише HTTP | Обмежте origin і перевірте HTTP-проксі, не припускаючи захисту UDP. |
| UDP потребує захищеного шляху | Дослідіть транспортний проксі чи тунель із перевіреними MTU та поверненням. |
| Переноситься власний дозволений префікс | Плануйте BGP-політику й відновлення з відповідальним оператором. |
Офіційні джерела
Джерела описують протоколи й налаштування. Перевірте документацію саме вашої версії.