Khóa port game ở máy gốc chỉ cho proxy truy cập
Đổi địa chỉ trong client chưa ngăn người biết IP cũ truy cập trực tiếp. Cần chính sách tại máy gốc để đường vào phù hợp kiến trúc đã chọn.
Đọc hướng dẫnCHỦ ĐỀ · 20 BÀI
Bảo vệ IP gốc
Proxy chỉ hữu ích khi các đường truy cập trực tiếp ngoài chủ đích được kiểm soát. Rà DNS, launcher, API và quyền quản trị trước khi công bố endpoint mới.
Rà soát DNS cũ có làm lộ IP máy gốc không?
Một bản ghi phụ còn trỏ về máy gốc có thể phá mục tiêu tách địa chỉ công khai. Chỉ sửa tên miền chính chưa xử lý các tên còn lại trong vùng DNS.
Đọc hướng dẫnTách website và game để giảm đường lộ origin
Nếu website và game cùng IP gốc, bảo vệ một cổng game không che được địa chỉ còn xuất hiện trên website hoặc dịch vụ khác. Cần nhìn toàn bộ địa chỉ công khai.
Đọc hướng dẫnRà IP gốc trong cấu hình launcher phát hành
Launcher có thể giữ địa chỉ cũ trong file cấu hình, danh sách máy chủ hoặc đường tải cập nhật. Người dùng có thể tiếp tục kết nối trực tiếp dù trang web đã đổi.
Đọc hướng dẫnAPI danh sách server có thể trả IP thật
Ứng dụng thường lấy endpoint game sau khi đăng nhập. Nếu API vẫn trả địa chỉ gốc, người chơi có thể bỏ qua proxy ngay trong luồng sử dụng bình thường.
Đọc hướng dẫnTách SSH khỏi đường công khai dành cho người chơi
Port game cần công khai không có nghĩa giao diện quản trị cũng phải mở cho mọi nguồn. Tách đường quản trị giúp giảm bề mặt truy cập và đơn giản hóa luật.
Đọc hướng dẫnĐóng cổng cơ sở dữ liệu khỏi Internet
Cơ sở dữ liệu thường chỉ cần nhận kết nối từ ứng dụng. Mở công khai làm tăng bề mặt tấn công và có thể tạo thêm điểm nghẽn ngoài đường proxy game.
Đọc hướng dẫnĐổi IP gốc đã lộ: lập kế hoạch không mất người chơi
Đổi địa chỉ có thể hữu ích khi kết hợp khóa đường trực tiếp, nhưng dịch vụ và phụ thuộc phải được cập nhật đồng bộ. Nếu tiếp tục công khai địa chỉ mới, lợi ích sẽ ngắn hạn.
Đọc hướng dẫnKiểm tra IPv6 có đi vòng qua proxy IPv4 không?
Một client có thể ưu tiên IPv6 nếu DNS công bố AAAA. Khi proxy chỉ cấu hình IPv4, đường IPv6 trực tiếp có thể nằm ngoài phạm vi bảo vệ dự kiến.
Đọc hướng dẫnPROXY protocol có phải luôn được bật được không?
PROXY protocol thêm thông tin nguồn vào luồng, nên backend phải biết đọc định dạng đó. Bật một phía có thể khiến game hiểu nhầm dữ liệu mở đầu và ngắt kết nối.
Đọc hướng dẫnIP trong log backend vì sao đều là proxy?
Khi relay tạo kết nối mới đến backend, backend thường nhìn thấy địa chỉ relay. Điều này ảnh hưởng hạn mức theo IP, điều tra lỗi và chống đăng nhập bất thường.
Đọc hướng dẫnChặn truy cập trực tiếp nhưng vẫn giữ backup hoạt động
Siết IP gốc có thể ảnh hưởng backup, giám sát hoặc đồng bộ nếu những luồng này chưa được ghi nhận. Cần cho phép theo chức năng cụ thể thay vì mở lại rộng.
Đọc hướng dẫnTách endpoint thử nghiệm khỏi địa chỉ sản xuất
Môi trường thử nghiệm đôi khi dùng chung máy hoặc cấu hình sản xuất. Một endpoint staging công khai có thể mở thêm đường vào cùng tài nguyên cần bảo vệ.
Đọc hướng dẫnKhông công khai địa chỉ nội bộ trong thông báo lỗi
Thông báo dành cho người chơi có thể vô tình chứa URL backend, IP hoặc cấu hình kết nối. Những thông tin này hữu ích cho vận hành nhưng không cần xuất hiện công khai.
Đọc hướng dẫnBảo vệ file cấu hình và bản sao trên website
File backup, log hoặc cấu hình đặt trong thư mục web có thể bị phục vụ ngoài dự kiến. Proxy game không kiểm soát nội dung công khai của website.
Đọc hướng dẫnTách port quản trị game khỏi port người chơi
Một tiến trình có thể mở cả listener chơi và listener điều khiển. Chỉ port phục vụ người chơi mới cần đi theo luồng công khai được thiết kế.
Đọc hướng dẫnBảo vệ đường tải bản cập nhật của game
Máy chủ cập nhật có thể dùng nhiều băng thông hơn luồng chơi. Nếu chung tài nguyên, đợt tải bản vá hợp lệ cũng có thể làm người đang chơi bị ảnh hưởng.
Đọc hướng dẫnKiểm tra egress của máy gốc sau khi siết mạng
Máy gốc có thể cần kết nối ra DNS, đồng bộ thời gian hoặc dịch vụ thanh toán. Chính sách vào và ra cần được đánh giá riêng để tránh lỗi gián tiếp.
Đọc hướng dẫnXác minh đường trả lời khi origin có nhiều giao diện
Máy chủ nhiều giao diện có thể nhận gói qua một đường nhưng trả qua đường khác. Firewall có trạng thái và NAT có thể phản ứng khác với thiết kế ban đầu.
Đọc hướng dẫnKiểm tra máy gốc trước khi thay đổi cấu hình khách hàng
Cấu hình proxy đúng vẫn không cứu được một đích đang tắt hoặc nhập sai port. Preflight ngắn giúp tránh công bố endpoint chưa hoạt động.
Đọc hướng dẫn