NAT atzean dagoen lan-estazioa atzitu portua birbideratu gabe
Sarrerako porturik ez duen lan-estazioa atzitu daiteke hub, errele edo aplikazio-broker baten bidez. Alderatu diseinu bakoitzak zer bermatzen duen bat aukeratu aurretik.
Operadorearen NAT atzean dauden bi mutur eta blokeatutako bulegoko router bat: ez dago birbideratzeko sarrerako porturik, eta erreakzioa hala ere bat eskatzea da. Galdera hobea da zein alde atera daitekeen kanpora eta zein zerbitzu irisgarri den trafikoa eramateko baimenduta. Lau diseinuk era desberdinean erantzuten diote galdera horri, eta modu desberdinean huts egiten dute bidea blokeatuta dagoenean. Haietako bat aukeratzea bermeen konparazioa da, ez protokolo-izenen konparazioa.
Lau diseinu, lau promesa desberdin
Beheko taula bertsio laburra da. Irakurri erdiko zutabea proba dezakezun promesa bezala, eta eskuineko zutabea inork eman ez zuen promesa bezala.
| Design | Who initiates | Promise you get | Promise you do not get |
|---|---|---|---|
| Routed VPN hub | Both ends, outbound to the hub | A routed path to permitted prefixes | Access to services no policy allows |
| Peer traversal with ICE | Both peers to a rendezvous service | A path tested between the two peers | A direct path through every NAT |
| TURN relay | Client outbound to a relay | Transport that survives symmetric NAT | Peer discovery or a usable directory |
| Application broker | Workstation outbound to a broker | One audited application session | Subnet-wide reachability |
Zein errenkada dagokion zereginen araberakoa da, ez lehentasunaren araberakoa. Urrutiko mahaigaineko saio bat, shell administratibo bat eta azpisare pribatu oso baterako sarbidea dira hiru baldintza, eta ez dute sarrera-puntu bera behar, kasualitatez makina bera tartean egon arren.
Hub batek aldatzen du nor ateratzen den kanpora, ez zer den baimenduta
Bideratutako hub diseinuan, urrutiko ordenagailu eramangarriak eta lan-estazioak, edo haren aurrean dagoen guneko atebideak, kanporako tunel bat irekitzen dute biek iristeko gai den zerbitzu batera. Ezerk ez du eskatutakoa ez den konexiorik onartzen lan-estazioaren routerrean, eta horrexegatik irauten du diseinu honek NAT atzean, eta horrexegatik egiten du lan guneak helbide estatikorik ez duenean ere. Gero hubak trafikoa bideratzen du bi barne-helbideen artean bere politika propioaren arabera.
Kostua da hubak existitu behar duela, bi aldeetatik irisgarria izan behar duela eta norbaitek kudeatu behar duela. Irteerako filtrak transporteari baimendu behar dio, eta blokeatzen duen sare batek diseinua zapuztuko du porturik birbideratu behar ez izan arren.
Zati sotila da irisgarritasuna eta baimen-ematea leku desberdinetan hartutako erabaki bereiziak direla. Prefijo baterako bideak ez du ezer esaten lan-estazioan nortasunak zein zerbitzu erabil dezakeen, eta tuneleari baimena ematen dion suebaki-arauak ez du ezer esaten kontuak saioa has dezakeen. Konfiguratu biak, probatu biak, eta eutsi baimen-erabakia baliabidearen jabea den sistemari, ez bideratze-taulari.
Zeharkatzeak soilik egiten du lan bi stack-ek ezartzen dutenean
Pareen arteko zeharkatzea sistema zehatz baten gaitasuna da, ez VPN bat hobetzen duen ezarpena. Interactive Connectivity Establishment-ek hainbat hautagai-helbide biltzen ditu eta bikoteak probatzen ditu bat funtzionatu arte: host hautagaiak tokiko interfazeetan, NAT-ak erakusten duenetik eraikitako zerbitzari-erreflexu hautagaiak, eta errele batean esleitutako errele hautagaiak. Helbide pribatu bat bere horretan ez da bide bat, beste aldea ezin baita hara bideratu.
Errelearen kasua ulertzea merezi du baztertu aurretik. RFC 8656 TURN protokolo gisa deskribatzen du: bezeroak zerbitzari bati errele bidezko garraio-helbide bat eskatzen dio eta zerbitzariak trafikoa birbidaltzen du bezero horren eta haren pareen artean. Beraz erreleak eramaten ditu datuak, eta hori funtsean desberdina da muturrei elkar topatzen soilik laguntzen dien direktorio batetik. Errele-helbidea parearekin trukatzea aplikazioak egin behar duen koordinazio-urratsa da.
Ezin duzuna prometitu bide zuzena da. NAT simetrikoak eta enpresa-suebaki batzuek zulo-zulaketa zapuzten dute, eta hori gertatzen denean sistemak errele batera egiten du atzera edo huts egiten du. Ezin duzu ondorioztatu ere bi mutur itzulik ezingo dutenik inoiz hitz egin; errele-erreserba duen stack onartu bat existitzen da hain zuzen ere sarritan hitz egin dezaketelako. Erabaki erabilgarritasunak edo zuzeneko izateak duen garrantzia, eta gero egiaztatu hedapenak zein bide aukeratu duen, kasu zoriontsua suposatu beharrean.
Broker bat sare bat baino estuagoa da
Baldintza aplikazio bat denean, aplikazio-broker bat edo lan-estazioak hasitako alderantzizko konexio bat izan daiteke erantzunik txikiena. Lan-estazioak kanpora deitzen dio broker bati, brokerrak urrutiko erabiltzailea egiaztatzen du, eta aplikazio-saio hori bakarrik eramaten da. Ez da lan-estazioaren azpisarera biderik sortzen, beraz urrutiko saioaren konpromisoak ez du aldameneko gailu bakoitzera bidea heredatzen.
Estutasun horrek prezioa du: aplikazio gehigarri bakoitzak bere integrazioa behar du, eta aplikazioak sare lokal bati buruz suposatzen duen edozer, adibidez inguruko zerbitzari batean irekitzen duen fitxategi-partekatze bat, agian ez da irisgarria izango. Brokerrek politika eta erregistroa leku bakarrean biltzen dituzte, eta hori erabilgarria da leku hori etendura bihurtu arte.
Konparatu konfiantza-mugak, eta gero probatu bidea
Tunelak amaitzen dituen hub batek bideratzen duen trafikoa irakur dezake. Errele batek modu independentean babestutako trukea eraman dezake aplikazioak muturretik muturrera zifratzen duenean, eta broker batek normalean aurkezten duen saioa amaitzen du. Ezarri babesak non bukatzen duen benetan, bi diseinu baliokideak direla erabaki aurretik, biak zifratuta daudelako.
Gero egiaztatu lan-estazioak kanpora zer atzitzen duen, goiko diseinu guztiek horren mende baitaude. Exekutatu hau lan-estazioan, erabili nahi duzun ostalari-izena ordezkatuz.
ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.comOnartu diseinua soilik aurreikusitako urrutiko eragiketak baimendutako nortasunarekin arrakasta lortu ondoren, baimendu gabeko nortasun bat baztertu ondoren, eta bide zuzena edo errele bidezkoa erabilgarri ez dagoenean portaera ezaguna eta dokumentatuta dagoenean. Sartu berriro konektatzeko proba bat eta lan-estazioaren ohiko abioko testuingurua, bulegoan LAN bidez hasitako saio batek ez baitu ezer probatzen urrutiko sarbidea horren mende dagoenik.