Protocollo dei tunnel
Traffico supportato, comportamento delle connessioni e limiti dei connettori.
Modello di connessione
Il connettore apre una connessione in uscita verso waf-ingress.loclix.network sulla porta 443. Può collegarsi prima della pubblicazione di un sito. Ogni sito pubblicato richiede comunque la propria configurazione DNS e del certificato.
Negoziazione del trasporto
| Trasporto | Requisito di rete | Cifratura |
|---|---|---|
| QUIC, provato per primo | UDP 443 in uscita | TLS 1.3 |
| HTTP/2, usato se QUIC non si collega | TCP 443 in uscita | TLS 1.3 |
Una connessione HTTP/2 stabilita rimane attiva fino alla disconnessione. Il tentativo successivo riprova QUIC. La negoziazione del trasporto non ripete le richieste applicative.
Consenti il passaggio di TLS senza intercettazione da parte di un proxy di rete.
Comportamento applicativo
I tunnel supportano richieste HTTP, risposte in streaming e upgrade WebSocket HTTP/1.1. Conservano l’header Host pubblico, il percorso, i delimitatori codificati e la stringa di query.
Imposta gli indirizzi locali durante l’attivazione oppure gestiscili dalla dashboard con Servizi locali. I servizi HTTPS locali richiedono un certificato attendibile per l’hostname dell’indirizzo. Le regole di sicurezza Loclix e Zero Trust si applicano prima dell’inoltro; le attestazioni di accesso raggiungono il servizio locale.
I tunnel pubblicano servizi HTTP. Non inoltrano traffico TCP o UDP generico. Usa Private Connect per l’accesso Internet dell’ufficio.
Le sessioni API confermate dall’origine richiedono un’origine diretta. La cache condivisa del sito viene esclusa quando è configurata una route o un’origine tunnel.
Interruzioni delle connessioni
Il connettore deve poter raggiungere continuamente l’host della dashboard per rinnovare l’autorizzazione. Se il rinnovo non riesce per 60 secondi, le richieste e i WebSocket vengono chiusi.
La sostituzione del token o la sospensione di un connettore chiude in genere le connessioni esistenti entro dieci secondi. Lo stato visualizzato può aggiornarsi con ritardo mentre arrivano nuovi dati.
Limiti
| Impostazione | Limite |
|---|---|
| Connettori per account | 16 |
| Route tunnel pubblicate per sito | 64 |
| Repliche per connettore, per edge | 4 |
| Servizi locali con nome per connettore | Fino a 64; l’attivazione ne richiede almeno uno. |
| ID e nomi dei servizi | 1–48 lettere, numeri, trattini bassi o trattini |
| Nome del connettore | 1–80 caratteri |
Tutte le repliche devono fornire servizi con nome equivalenti. Consulta la sostituzione delle credenziali prima di attivare una replica di un connettore esistente.