port non-standar - Edge Security Acceleration - Alibaba Cloud Documentation Center

Setelah menyelesaikan onboarding situs di Edge Security Accelerator (ESA), permintaan klien dalam format hostname:port dapat gagal. Kegagalan ini terjadi jika port yang diminta bukan salah satu port akses HTTP/HTTPS standar yang didukung ESA secara default, atau jika protokol permintaan tidak sesuai dengan protokol yang dilayani oleh port tersebut.

Gejala umum

Akses ke situs dalam format hostname:port gagal dalam salah satu dari dua kasus berikut:

Port akses tidak didukung — Anda menggunakan port yang bukan port akses standar, misalnya, https://example.com:8081.
Ketidaksesuaian protokol dan port — Protokol permintaan tidak sesuai dengan port. Misalnya, Anda mengirim permintaan HTTPS ke https://example.com:8080. Port 8080 adalah port akses HTTP standar dan tidak menerima permintaan HTTPS.

Akar penyebab

ESA mendukung kumpulan port akses HTTP/HTTPS tertentu secara default. Akses gagal jika Anda menggunakan port di luar kumpulan tersebut atau jika protokol permintaan tidak sesuai dengan protokol yang dilayani oleh port tersebut.

Port akses standar

Port akses standar ESA adalah sebagai berikut:

Port HTTP: 80, 8080, 8880, 2052, 2082, 2086, dan 2095.
Port HTTPS: 443, 2053, 2083, 2087, 2096, dan 8443.

Solusi

Pilih solusi berdasarkan gejala yang Anda alami:

Port akses tidak didukung, atau ketidaksesuaian protokol dan port — Sesuaikan port yang digunakan klien. Lihat Solusi 1.
Konten harus diambil dari port kustom pada server origin — Sesuaikan port origin. Lihat Solusi 2.

Penting

Untuk menggunakan port akses di luar port akses standar, lakukan upgrade paket Anda lalu hubungi Alibaba Cloud untuk mengaktifkan fitur port kustom. Fitur port kustom bersifat saling eksklusif dengan optimasi jaringan daratan Tiongkok dan IP statis, sehingga ketiga fitur tersebut tidak dapat diaktifkan secara bersamaan.

Solusi 1: Sesuaikan port akses klien

Nama domain terakselerasi ESA hanya menyediakan akses eksternal melalui port akses standar. Pastikan port yang Anda akses termasuk dalam daftar port standar dan protokol permintaan Anda sesuai dengan protokol port tersebut. Anda dapat menyesuaikan port standar sesuai kebutuhan.

Solusi 2: Sesuaikan port origin

Secara default, rekaman DNS A atau AAAA yang Anda tambahkan mengambil konten melalui HTTP dari port 80 dan melalui HTTPS dari port 443 pada server origin. Menambahkan port setelah nama domain, seperti hostname:port, tidak mengubah port yang digunakan untuk mengambil konten. Untuk mengambil konten dari port origin kustom, konfigurasikan port origin kustom atau gunakan proxy Lapisan 4:

Untuk traffic HTTP dan HTTPS, konfigurasikan port origin kustom (Opsi 1, direkomendasikan).
Untuk mempercepat protokol non-HTTP, seperti SSH, game, atau protokol TCP kustom, gunakan proxy Lapisan 4 (Opsi 2).

Opsi 1: konfigurasikan port origin kustom (direkomendasikan)

Tetapkan port origin situs Anda ke port non-standar kustom, seperti 8081. ESA kemudian meneruskan permintaan ke port tersebut pada server origin. Port origin kustom hanya berlaku untuk permintaan back-to-origin, dan klien tetap mengakses situs melalui port akses standar.

Masuk ke Konsol ESA dan pilih situs yang ingin Anda konfigurasi.
Di panel navigasi kiri, pilih Rules > Origin Rules.
Buat aturan. Bergantung pada pengaturan Origin Protocol, atur HTTP Port atau HTTPS Port ke port tempat server origin benar-benar mendengarkan, seperti 8081.
Ketika pengguna mengakses situs melalui port akses standar, seperti https://example.com, ESA meneruskan permintaan ke port 8081 pada server origin.

Untuk memverifikasi konfigurasi, akses nama domain melalui port akses standar, seperti 80 atau 443, dan pastikan konten dikembalikan dari server origin dengan benar.

Opsi 2: Proxy Lapisan 4 (proxy TCP/UDP)

Untuk mempercepat protokol non-HTTP, seperti Secure Shell (SSH), game, atau protokol TCP kustom, gunakan fitur Proxy Lapisan 4 ESA. Topik yang ditautkan menyediakan langkah-langkah konfigurasi untuk proxy Lapisan 4.

Catatan

Akselerasi Lapisan 7 ESA hanya melayani traffic melalui port akses HTTP/HTTPS standar dan tidak dapat mengekspos layanan non-HTTP, seperti SSH pada port 22. Lakukan koneksi langsung ke alamat IP server, atau gunakan proxy Lapisan 4 untuk protokol tersebut.

Rekomendasi keamanan port

Akselerasi Lapisan 7 ESA hanya menerima permintaan klien melalui port akses standar yang dijelaskan di atas. Tinjau port akses yang digunakan klien dan port layanan pada server origin Anda.

Port akses klien

Jika kebutuhan bisnis Anda hanya memerlukan port 80 dan 443, nonaktifkan port akses standar lainnya dalam rekaman DNS akselerasi proxy yang sesuai.

Port server origin

Menutup port non-web pada server origin tidak memengaruhi akselerasi atau perlindungan yang disediakan ESA. Periksa port-port berikut satu per satu:

Port 21 (FTP) — Tutup port ini jika server origin tidak menjalankan layanan FTP.
Port 22 (SSH) — Tutup port ini kecuali Anda memerlukan koneksi remote publik. Untuk mempercepat koneksi SSH, gunakan proxy Lapisan 4.
Port 3389 (RDP) — Tutup port ini pada server origin Linux, yang biasanya tidak menggunakannya.
Port 40 — Konfirmasi tujuan layanan pada port ini sebelum memutuskan apakah akan menutupnya.