NAT артындағы жұмыс станциясына портты қайта бағыттаусыз қол жеткізу
Кіріс порты жоқ жұмыс станциясына хаб, реле немесе қолданба брокері арқылы қол жеткізуге болады. Біреуін таңдамас бұрын әр шешімнің нені кепілдейтінін салыстырыңыз.
Оператор NAT-ының артындағы екі шеткі нүкте мен құлыпталған кеңсе маршрутизаторы қайта бағыттауға ешбір кіріс портын қалдырмайды, ал рефлекс — бәрібір біреуін сұрау. Жақсырақ сұрақ: қай жақ сыртқа шыға алады және қай қолжетімді қызметке трафикті тасымалдауға рұқсат етілген. Төрт шешім бұл сұраққа әрқалай жауап береді және жол бұғатталғанда әртүрлі сәтсіздікке ұшырайды. Олардың арасында таңдау протокол атауларының емес, кепілдіктердің салыстыруы.
Төрт шешім, төрт түрлі уәде
Төмендегі кесте қысқа нұсқа. Ортаңғы бағанды тексере алатын уәде ретінде, оң жақ бағанды ешкім бермеген уәде ретінде оқыңыз.
| Design | Who initiates | Promise you get | Promise you do not get |
|---|---|---|---|
| Routed VPN hub | Both ends, outbound to the hub | A routed path to permitted prefixes | Access to services no policy allows |
| Peer traversal with ICE | Both peers to a rendezvous service | A path tested between the two peers | A direct path through every NAT |
| TURN relay | Client outbound to a relay | Transport that survives symmetric NAT | Peer discovery or a usable directory |
| Application broker | Workstation outbound to a broker | One audited application session | Subnet-wide reachability |
Қай жолдың қолданылатыны таңдауға емес, тапсырмаға байланысты. Бір қашықтағы жұмыс үстелі сессиясы, бір әкімшілік қабық және бүкіл жеке қосымша желіге қол жеткізу — бұл бір кіру нүктесін қажет етпейтін үш талап, тіпті олар кездейсоқ бір машинаға қатысты болса да.
Хаб кімнің сыртқа шығатынын өзгертеді, ненің рұқсат етілгенін емес
Маршрутталған хаб шешімінде қашықтағы ноутбук пен жұмыс станциясы, немесе оның алдындағы сайт қақпасы, екеуі де қол жеткізе алатын қызметке шығыс туннелін ашады. Жұмыс станциясының маршрутизаторында ешнәрсе сұралмаған қосылымды қабылдамайды, және дәл сондықтан бұл шешім NAT-тан аман өтеді және сайтта статикалық мекенжай болмаса да жұмыс істейді. Содан кейін хаб өз саясатына сәйкес екі ішкі мекенжай арасында трафикті маршруттайды.
Бағасы — хаб болуы керек, екі жақтан да қолжетімді болуы керек және біреу оны басқаруы керек. Шығыс сүзгілеу көлікті рұқсат етуі керек, ал оны бұғаттайтын желі портты қайта бағыттау қажет болмаса да шешімді күйретеді.
Нәзік жері — қолжетімділік пен авторизация әртүрлі орындарда қабылданатын бөлек шешімдер. Префикске баратын маршрут жұмыс станциясындағы қай қызметті сәйкестік пайдалана алатынын айтпайды, ал туннельге рұқсат беретін брандмауэр ережесі тіркелгінің кіре алатынын айтпайды. Екеуін де конфигурациялаңыз, екеуін де тексеріңіз және авторизация шешімін маршруттау кестесінде емес, ресурсты иеленетін жүйеде қалдырыңыз.
Өту екі стек те оны іске асырғанда ғана жұмыс істейді
Тең дәрежелі түйіндер арасындағы өту — нақты жүйенің қабілеті, VPN-ді жақсартатын параметр емес. Interactive Connectivity Establishment бірнеше кандидат мекенжайды жинайды және біреуі істегенше жұптарды тексереді: жергілікті интерфейстердегі хост кандидаттары, NAT ашатын нәрседен құрылған серверлік шағылыстырғыш кандидаттар және реледе бөлінген реле кандидаттары. Жалғыз жеке мекенжай жол емес, өйткені қарсы жақ оған маршруттай алмайды.
Реле жағдайын одан бас тартпас бұрын түсіну керек. RFC 8656 TURN-ды клиент серверден реле арқылы өтетін көлік мекенжайын сұрайтын және сервер сол клиент пен оның тең дәрежелі түйіндері арасында трафикті жіберетін протокол ретінде сипаттайды. Сондықтан деректерді реле тасымалдайды, бұл тек шеткі нүктелерге кездесуге көмектесетін каталогтан едәуір ерекшеленеді. Реле мекенжайын қарсы жақпен алмасу — қолданба орындауға тиісті үйлестіру қадамы.
Уәде бере алмайтыныңыз — тікелей жол. Симметриялы NAT және кейбір корпоративтік брандмауэрлер тесік бұрғылауды күйретеді, ал бұл болғанда жүйе не релеге қайтады, не сәтсіздікке ұшырайды. Сондай-ақ екі аударылған шеткі нүкте ешқашан сөйлесе алмайды деп қорытынды жасай алмайсыз; реле сақтығы бар қолдау көрсетілетін стек дәл солар жиі сөйлесе алатындықтан бар. Қолжетімділік пе, әлде тікелейлік пе маңыздырақ екенін шешіңіз, содан кейін қолайлы жағдайды болжаудың орнына орналастыру нақты қай жолды таңдағанын тексеріңіз.
Брокер желіден тарырақ
Талап бір қолданба болғанда, қолданба брокері немесе жұмыс станциясы бастаған кері қосылым ең кіші жауап болуы мүмкін. Жұмыс станциясы брокерге сыртқа шығады, брокер қашықтағы пайдаланушыны аутентификациялайды және тек сол қолданба сессиясы тасымалданады. Жұмыс станциясының қосымша желісіне маршрут жасалмайды, сондықтан қашықтағы сессияның бұзылуы қасындағы әрбір құрылғыға жолды мұраланбайды.
Бұл тарлықтың бағасы бар: әр қосымша қолданба өз интеграциясын қажет етеді, ал қолданба жергілікті желі туралы болжайтын нәрсе, мысалы жақын серверде ашатын файл бөлісімі, қолжетімсіз болуы мүмкін. Брокерлер саясат пен журналды бір жерге шоғырландырады, бұл сол орын іркіліске айналғанша пайдалы.
Сенім шекараларын салыстырыңыз, содан кейін жолды тексеріңіз
Туннельдерді аяқтайтын хаб өзі маршруттайтын трафикті оқи алады. Қолданба шетінен шетіне шифрлағанда реле дербес қорғалған алмасуды тасымалдай алады, ал брокер әдетте ұсынатын сессияны аяқтайды. Екеуі де шифрланған деп екі шешімді балама деп шешпес бұрын қорғаныс шын мәнінде қайда аяқталатынын анықтаңыз.
Содан кейін жұмыс станциясы сыртқа нақты қайда жететінін тексеріңіз, өйткені жоғарыдағы әрбір шешім осыған тәуелді. Мұны жұмыс станциясында орындаңыз, пайдаланбақшы болған хост атауын қойыңыз.
ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.comШешімді тек рұқсат етілген сәйкестік астында көзделген қашықтағы операция сәтті болғаннан, рұқсат етілмеген сәйкестік қабылданбағаннан және тікелей немесе реле жолы қолжетімсіз болғандағы мінез-құлық белгілі әрі құжатталғаннан кейін ғана қабылдаңыз. Қайта қосылу мен жұмыс станциясының қалыпты іске қосылу контекстін қосыңыз, өйткені кеңседе LAN арқылы басталған сессия қашықтағы қол жеткізу тәуелді ештеңені тексермейді.