Точки доступа
Точки доступа — это адреса сервера в VpnHood! MANAGER: те, на которых он принимает входящие подключения, и те, что добавляются в ключи доступа. MANAGER настраивает их автоматически, пока вам не понадобится задать конкретный адрес.
Где их найти
Перейдите в Servers, выберите сервер и найдите раздел Access Points. Каждая точка доступа представляет собой адрес сервера с соответствующими портами. На странице фермы серверов также отображаются адреса из её ключей — в разделе Access Points.
Автоматическая настройка
Параметр Automatic Configuration включён для каждого нового сервера по умолчанию. MANAGER определяет адрес сервера через его собственный исходящий трафик (как это делает отдельный сервер) и применяет подходящие точки доступа. Это безошибочно работает на большинстве хостингов; случаи исключений описаны в статье Как сервер определяет свой адрес.
Чтобы настроить точки доступа вручную, отключите Automatic Configuration: пока этот режим активен, редактировать список нельзя. MANAGER попросит подтвердить действие, так как сервер перезагрузится с новыми параметрами.
Параметры точки доступа
Назначение каждого адреса задаётся двумя параметрами:
- Mode определяет, кому передаётся адрес. PublicInToken добавляет его во все ключи доступа фермы. Public исключает адрес из ключей, и MANAGER передаёт его приложению только при перенаправлении на этот сервер. Private никогда не отправляет адрес клиентам.
- Listen определяет, принимает ли сервер подключения на этом адресе. Указывайте Yes только для адресов, маршрутизируемых вашим провайдером на данный сервер: в Linux сервер самостоятельно добавляет отсутствующий адрес прослушивания в сетевую конфигурацию.
Параметры UDP Port и QUIC Port являются необязательными, а значение -1 отключает любой из них.
Для устройств, работающих через UDP, порт UDP Port должен быть открыт в брандмауэре сервера и у хостинг-провайдера.
В облаке с приватными адресами
В облачных сетях, где серверу назначен только приватный адрес (AWS, Google Cloud, Azure, Oracle Cloud), укажите приватный IP с параметрами Mode Private и Listen Yes, а публичный IP — с PublicInToken и Listen No на том же порту. Automatic Configuration настраивает такую схему автоматически.
Изменение адреса
Ключ содержит адреса, с которыми был создан, поэтому приложение со старым ключом будет обращаться к прежнему адресу. Оставьте старый адрес на несколько дней как точку доступа с параметрами Mode Private и Listen Yes: приложения получат новый ключ при подключении, так как опция Push token to clients включена по умолчанию. Затем удалите его.
203.0.113.10, попадает в ключи. Прежний адрес, 198.51.100.20, исключён из них, но сервер продолжает принимать на нём подключения от приложений со старыми ключами.
За обратным прокси (reverse proxy)
Сначала включите прокси, как описано в руководстве Размещение сервера за обратным прокси. Затем проверьте сертификат фермы для домена: в пункте Signature должно быть указано CA Signed, а параметр Visibility должен иметь значение PublicInToken, как настроено в инструкции Использование собственного домена. После этого ключи будут содержать доменное имя, и приложения будут обращаться по нему.
Чтобы направлять трафик всех приложений через прокси, исключите собственные адреса сервера из ключей:
- Отключите Automatic Configuration.
- Отредактируйте каждый адрес, установив параметр Mode в значение Private.
- Оставьте для Listen значение Yes, чтобы сервер продолжал прием входящих соединений от прокси.
MANAGER разрешает использовать ключи без адреса только в том случае, если сертификат имеет статус CA Signed.
Приложения со старыми ключами продолжат использовать их и указанные в них адреса: функция Push token to clients отправляет новый ключ только тогда, когда хотя бы у одного сервера фермы есть адрес со статусом PublicInToken. Скопируйте новые ключи из MANAGER и передайте их пользователям.
Если оставить статус PublicInToken, адреса сохранятся в ключах, и приложения смогут использовать как их, так и прокси. Это позволит пользователям оставаться на связи, даже если прямой адрес заблокируют.
Домен ведет на один сервер, поэтому в ферме из нескольких серверов все подключения через прокси будут попадать на него же.
