Cyrraedd gorsaf waith tu ôl i NAT heb anfon porth ymlaen

Mae dau ben y tu ôl i NAT y cludwr a llwybrydd swyddfa dan glo yn gadael dim porth i mewn i’w anfon ymlaen, a’r reddf yw gofyn am un beth bynnag. Y cwestiwn gwell yw pa ochr sy’n gallu deialu allan a pha wasanaeth y gellir ei gyrraedd y caniateir iddo gario’r traffig. Mae pedwar dyluniad yn ateb y cwestiwn hwnnw’n wahanol, ac maen nhw’n methu mewn ffyrdd gwahanol pan fydd llwybr yn cael ei rwystro. Mae dewis rhyngddynt yn gymhariaeth o warantau, nid o enwau protocol.

Pedwar dyluniad, pedwar addewid gwahanol

Y tabl isod yw’r fersiwn byr. Darllenwch y golofn ganol fel yr addewid y gallwch ei phrofi, a’r golofn dde fel yr addewid na wnaeth neb hi.

Mae pa res sy’n berthnasol yn dibynnu ar y dasg yn hytrach nag ar ddymuniad. Un sesiwn penbwrdd o bell, un plisgyn gweinyddol a mynediad i isrwyd gyfan breifat yw tri gofyn nad oes angen yr un pwynt mynediad arnynt, hyd yn oed pan fyddant yn digwydd ymwneud â’r un peiriant.

Mae hwb yn newid pwy sy’n deialu allan, nid beth a ganiateir

Mewn dyluniad hwb â llwybr, mae’r gliniadur o bell a’r orsaf waith, neu’r giât safle o’i flaen, pob un yn agor twnnel allanol i wasanaeth y gall y ddau ei gyrraedd. Nid oes dim yn derbyn cysylltiad heb ei ofyn ar lwybrydd yr orsaf waith, a dyna’n union pam mae’r dyluniad hwn yn goroesi NAT ac yn dal i weithio pan nad oes gan y safle gyfeiriad statig. Yna mae’r hwb yn llwybro traffig rhwng y ddau gyfeiriad mewnol yn ôl ei bolisi ei hun.

Y gost yw bod yn rhaid i’r hwb fodoli, bod yn gyrraeddadwy o’r ddwy ochr, a bod rhywun yn ei redeg. Mae’n rhaid i hidlo allanol ganiatáu’r cludiant, a bydd rhwydwaith sy’n ei rwystro yn trechu’r dyluniad hyd yn oed heb fod angen anfon porth ymlaen.

Y rhan gynnil yw bod cyrraeddadwyedd ac awdurdodi yn benderfyniadau ar wahân a wneir mewn gwahanol leoedd. Nid yw llwybr i ragosodiad yn dweud dim am ba wasanaeth ar yr orsaf waith y caiff yr hunaniaeth ei defnyddio, ac nid yw rheol mur gwarchod sy’n caniatáu’r twnnel yn dweud dim am a all y cyfrif fewngofnodi. Ffurfweddwch y ddau, profwch y ddau, a chadwch y penderfyniad awdurdodi gyda’r system sy’n berchen ar yr adnodd yn hytrach na chyda’r tabl llwybro.

Dim ond pan fydd y ddau stac yn ei weithredu y mae trawsiad yn gweithio

Mae trawsiad cymheiriaid yn allu system benodol, nid gosodiad sy’n gwella VPN. Mae Interactive Connectivity Establishment yn casglu sawl cyfeiriad ymgeisydd ac yn profi parau nes bod un yn gweithio: ymgeiswyr gwesteiwr ar ryngwynebau lleol, ymgeiswyr adlewyrchiol gweinydd a adeiledir o’r hyn y mae NAT yn ei ddatgelu, ac ymgeiswyr a ail-drosglwyddir a ddyrennir ar aildrosglwyddydd. Nid yw cyfeiriad preifat ar ei ben ei hun yn llwybr, oherwydd ni all yr ochr arall lwybro iddo.

Mae’r achos a ail-drosglwyddir yn werth ei ddeall cyn ei ddiystyru. RFC 8656 yn disgrifio TURN fel protocol lle mae cleient yn gofyn i weinydd am gyfeiriad cludiant a ail-drosglwyddir ac mae’r gweinydd yn anfon traffig rhwng y cleient hwnnw a’i gymheiriaid. Felly’r aildrosglwyddydd sy’n cario’r data, sy’n sylweddol wahanol i gyfeiriadur sy’n helpu penau yn unig i gyfarfod. Mae cyfnewid y cyfeiriad a ail-drosglwyddir gyda’r cymheiriaid yn gam cydlynu y mae’n rhaid i’r cymhwysiad ei wneud.

Yr hyn na allwch ei addo yw llwybr uniongyrchol. Mae NAT cymesur a rhai muriau gwarchod menter yn trechu tyllu, a phan fyddant yn gwneud hynny, mae’r system naill ai’n cwympo’n ôl i aildrosglwyddydd neu’n methu. Yr hyn na allwch ei gasglu chwaith yw na all dau ben a gyfieithwyd byth siarad; mae stac â chefnogaeth ac â chwymp-yn-ôl aildrosglwyddydd yn bodoli’n union oherwydd eu bod yn aml yn gallu. Penderfynwch a yw argaeledd neu uniongyrchedd yn bwysicach, yna gwiriwch pa lwybr a ddewisodd y defnydd mewn gwirionedd yn hytrach na rhagdybio’r achos hapus.

Mae brocer yn gulach na rhwydwaith

Pan fo’r gofyn yn un cymhwysiad, gall brocer cymhwysiadau neu gysylltiad gwrthdro a gychwynnir gan yr orsaf waith fod y ateb lleiaf. Mae’r orsaf waith yn deialu allan i frocer, mae’r brocer yn dilysu’r defnyddiwr o bell, a dim ond y sesiwn cymhwysiad honno a gludir. Nid oes llwybr i isrwyd yr orsaf waith yn cael ei greu, felly nid yw cyfaddawd o’r sesiwn o bell yn etifeddu llwybr i bob dyfais wrth ei hymyl.

Mae gan y culni hwnnw bris: mae angen ei integreiddio ei hun ar bob cymhwysiad ychwanegol, ac efallai na fydd unrhyw beth y mae’r cymhwysiad yn ei dybio am rwydwaith lleol, fel cyfrannu ffeil y mae’n ei agor ar weinydd cyfagos, yn gyrraeddadwy. Mae broceri hefyd yn canolbwyntio polisi a logio mewn un man, sy’n ddefnyddiol nes bod y man hwnnw’n dod yn fethiant.

Cymharwch ffiniau ymddiriedaeth, yna profwch y llwybr

Gall hwb sy’n terfynu twneli ddarllen y traffig a lwybrir ganddo. Gall aildrosglwyddydd gario cyfnewid a warchodwyd yn annibynnol pan fydd y cymhwysiad yn amgryptio o ben i ben, ac mae brocer fel arfer yn terfynu’r sesiwn a gyflwynir. Sefydlwch ble mae diogelwch yn gorffen mewn gwirionedd cyn penderfynu bod dau ddyluniad yn gyfwerth oherwydd bod y ddau wedi’u hamgryptio.

Yna gwiriwch beth gall yr orsaf waith ei gyrraedd allan mewn gwirionedd, gan fod pob dyluniad uchod yn dibynnu ar hynny. Rhedwch hyn ar yr orsaf waith, gan roi’r enw gwesteiwr rydych chi’n bwriadu ei ddefnyddio yn ei le.

ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.com

Derbyniwch y dyluniad yn unig ar ôl i’r gweithrediad o bell a fwriadwyd lwyddo o dan yr hunaniaeth a ganiateir, hunaniaeth nas cymeradwywyd gael ei gwrthod, a’r ymddygiad pan nad yw’r llwybr uniongyrchol neu’r llwybr a ail-drosglwyddir ar gael yn hysbys ac wedi’i nodi. Cynhwyswch ailgysylltiad a chyd-destun cychwyn arferol yr orsaf waith, oherwydd nid yw sesiwn a ddechreuodd yn y swyddfa dros y LAN yn profi dim y mae mynediad o bell yn dibynnu arno.