NAT артындагы жумуш станциясына портту багыттоосуз жетүү
Кирүү порту жок жумуш станциясына хаб, реле же колдонмо брокери аркылуу жетүүгө болот. Бирөөнү тандоодон мурун ар бир чечим эмнени кепилдей турганын салыштырыңыз.
Оператордун NAT артындагы эки четки пункт жана кулпуланган кеңсе маршрутизатору багыттоо үчүн эч бир кирүү портун калтырбайт, ал эми рефлекс — баары бир бирөөнү суроо. Жакшыраак суроо: кайсы тарап сыртка чыга алат жана кайсы жеткиликтүү кызматка трафикти ташууга уруксат берилген. Төрт чечим бул суроого ар башкача жооп берет жана жол бөгөттөлгөндө ар кандай шартта ишке ашпайт. Алардын ортосунда тандоо протокол аттарынын эмес, кепилдиктердин салыштыруусу.
Төрт чечим, төрт башка убада
Төмөнкү таблица кыскача версия. Ортоңку тилкени текшере ала турган убада катары, оң тилкени эч ким бербеген убада катары окуңуз.
| Design | Who initiates | Promise you get | Promise you do not get |
|---|---|---|---|
| Routed VPN hub | Both ends, outbound to the hub | A routed path to permitted prefixes | Access to services no policy allows |
| Peer traversal with ICE | Both peers to a rendezvous service | A path tested between the two peers | A direct path through every NAT |
| TURN relay | Client outbound to a relay | Transport that survives symmetric NAT | Peer discovery or a usable directory |
| Application broker | Workstation outbound to a broker | One audited application session | Subnet-wide reachability |
Кайсы сап колдонулаары тандоого эмес, тапшырмага байланыштуу. Бир алыскы иш такта сессиясы, бир административдик кабык жана бүтүндөй жеке кошумча тармакка жетүү — бул бир эле кирүү чекитин талап кылбаган үч талап, алар кокустан бир эле машинага тиешелүү болсо да.
Хаб ким сыртка чыгаарын өзгөртөт, эмнеге уруксат берилгенин эмес
Багытталган хаб чечиминде алыскы ноутбук менен жумуш станциясы, же анын алдындагы сайт дарбазасы, экөө тең жете алган кызматка чыгуучу туннель ачат. Жумуш станциясынын маршрутизаторунда эч нерсе суралбаган туташууну кабыл албайт, ошондуктан бул чечим NATтан аман өтөт жана сайтта статикалык дарек болбосо да иштейт. Андан кийин хаб өз саясатына ылайык эки ички даректин ортосунда трафикти багыттайт.
Баасы — хаб болушу керек, эки тараптан жеткиликтүү болушу керек жана бирөө аны башкарышы керек. Чыгуучу фильтрлөө транспортко уруксат бериши керек, ал эми аны бөгөттөгөн тармак портту багыттоо талап кылынбаса да чечимди кыйратат.
Назрык жери — жеткиликтүүлүк жана авторизация ар башка жерлерде кабыл алынган өзүнчө чечимдер. Префикске барган маршрут жумуш станциясындагы кайсы кызматты инсандык колдоно аларын айтпайт, ал эми туннелге уруксат берген брандмауэр эрежеси аккаунт кире аларын айтпайт. Экөөнү тең конфигурациялаңыз, экөөнү тең текшериңиз жана авторизация чечимин маршруттоо таблицасында эмес, ресурсту ээлеген системада калтырыңыз.
Өтүү эки стек те аны ишке ашырганда гана иштейт
Теңдеш түйүндөрдүн ортосундагы өтүү — белгилүү бир системанын жөндөмү, VPNди жакшыртуучу параметр эмес. Interactive Connectivity Establishment бир нече талапкер даректи чогултат жана бирөө иштегенче жуптарды текшерет: жергиликтүү интерфейстердеги хост талапкерлери, NAT ачып берген нерседен курулган сервердик чагылдыруучу талапкерлер жана реледе бөлүнгөн реле талапкерлери. Жалгыз жеке дарек жол эмес, анткени каршы тарап ага багыттай албайт.
Реле жагдайын андан баш тартканга чейин түшүнүү керек. RFC 8656 TURNды кардар серверден реле аркылуу өткөн транспорт дарегин сураган жана сервер ошол кардар менен анын теңдеш түйүндөрүнүн ортосунда трафикти жиберген протокол катары сүрөттөйт. Ошондуктан маалыматты реле ташыйт, бул четки пункттарга жолугууга гана жардам берген каталогдон бир кыйла айырмаланат. Реле дарегин каршы тарап менен алмашуу — колдонмо аткарышы керек болгон координациялоо кадамы.
Убада бере албаганыңыз — түз жол. Симметриялуу NAT жана кээ бир корпоративдик брандмауэрлер тешик бургулоону кыйратат, ал эми бул болгондо система релеге кайтат же ишке ашпайт. Ошондой эле эки которулган четки пункт эч качан сүйлөшө албайт деп тыянак чыгара албайсыз; реле камдыгы бар колдоого алынган стек дал ошолор көп учурда сүйлөшө алгандыктан бар. Жеткиликтүүлүк же түздүк эмне маанилүүрөөк экенин чечиңиз, андан кийин жагымдуу учурду болжолдоонун ордуна жайылтуу чындыгында кайсы жолду тандаганын текшериңиз.
Брокер тарамдан тарыраак
Талап бир колдонмо болгондо, колдонмо брокери же жумуш станциясы баштаган тескери туташуу эң кичине жооп болушу мүмкүн. Жумуш станциясы брокерге сыртка чыгат, брокер алыскы колдонуучуну аутентификациялайт жана ошол гана колдонмо сессиясы ташылат. Жумуш станциясынын кошумча тармагына маршрут түзүлбөйт, ошондуктан алыскы сессиянын бузулушу жанындагы ар бир түзмөккө жолду мурастабайт.
Бул тардыктын баасы бар: ар бир кошумча колдонмо өзүнүн интеграциясын талап кылат, ал эми колдонмо жергиликтүү тармак тууралуу болжолдогон нерсе, мисалы жакын серверде ачкан файл бөлүшүүсү, жеткиликсиз болушу мүмкүн. Брокерлер саясат менен журналды бир жерге топтойт, бул ошол жер тыныгууга айланганга чейин пайдалуу.
Ишеним чектерин салыштырыңыз, андан кийин жолду текшериңиз
Туннелдерди бүтүргөн хаб өзү багыттаган трафикти окуй алат. Колдонмо четине чейин шифрлегенде реле өз алдынча корголгон алмашууну ташый алат, ал эми брокер адатта сунуштаган сессиясын бүтүрөт. Экөө тең шифрленген деп эки чечимди барабар деп чечмеден мурун коргоо чындыгында кайда бүтөрүн аныктаңыз.
Андан кийин жумуш станциясы сыртка чындыгында кайда жетерин текшериңиз, анткени жогорудагы ар бир чечим ушундан көз каранды. Муну жумуш станциясында аткарыңыз, колдонмочу болгон хост атын койсоңуз.
ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.comЧечимди уруксат берилген инсандык астында көздөлгөн алыскы операция ийгиликтүү болгондон, уруксат берилбеген инсандык четке кагылгандан жана түз же реле жолу жеткиликсиз болгондогу жүрүм-турум белгилүү жана документтештирилгенден кийин гана кабыл алыңыз. Кайра туташууну жана жумуш станциясынын кадимки ишке кирүү контекстин кошуңуз, анткени кеңседе LAN аркылуу башталган сессия алыскы жетүү көз каранды болгон эч нерсени текшербейт.