Eng Workstation hannert NAT erreechen ouni Port-Weederleeung

Zwee Endpunkten hannert dem NAT vum Provider an en ofgespaarten Office-Router loossen keen erakommende Port fir weiderzeleeden, an de Reflex ass trotzdem een ze froen. Déi besser Fro ass, wéi eng Säit ka rauswielen a wéi en erreechbare Service däerf den Traffic droen. Véier Designen äntweren op déi Fro ënnerschiddlech, an si versoen op ënnerschiddlech Manéieren, wann e Wee blockéiert gëtt. Tëschent hinne wielen ass e Verglach vu Garantien, net vu Protokollnimm.

Véier Designen, véier ënnerschiddlech Verspriechen

Déi Tabell hei drënner ass déi kuerz Versioun. Liest déi mëttelst Kolonn als d’Verspriechen, dat Dir kënnt testen, an déi riets Kolonn als d’Verspriechen, dat keen gemaach huet.

Wéi eng Zeil gëllt, hänkt vun der Aufgab of an net vun der Preferenz. Eng Sessioun fir de entfernten Desktop, eng administrativ Shell an Zougrëff op e ganzt private Subnetz sinn dräi Ufuerderungen, déi net dee selwechten Agang brauchen, och wann se zoufälleg déiselwecht Maschinn betreffen.

En Hub ännert, wien erauswielt, net wat erlaabt ass

An engem Design mat engem gerouteten Hub öffnen deen entfernten Laptop an d’Workstation, oder d’Gateway vum Site virun hir, all een ausgängegen Tunnel zu engem Service, deen allebéid kënnen erreechen. Näischt hëlt eng ongefroten Verbindung um Router vun der Workstation un, an genee dofir iwwerlieft dëst Design NAT a funktionéiert och, wann de Site keng statesch Adress huet. Duerno routet den Hub den Traffic tëschent den zwou banneschten Adressen no senger eegener Politik.

De Präis ass, datt den Hub muss existéieren, vun deenen zwou Säiten erreechbar muss sinn an een en muss bedreiwen. Ausgänglech Filterung muss den Transport erlaben, an en Netz, dat en blockéiert, wäert d’Design scheiere loossen, och wann keng Port-Weederleeung néideg war.

De subtilen Deel ass, datt Erreechbarkeet an Autorisatioun getrennt Entscheidungen sinn, déi op verschiddene Plazen geholl ginn. Eng Route an e Präfix seet näischt doriwwer, wéi en Service op der Workstation d’Identitéit däerf benotzen, an eng Firewall-Reeg, déi den Tunnel erlaabt, seet näischt doriwwer, ob de Kont sech kann aloggen. Konfiguréiert béides, testet béides, an haalt d’Autorisatiounsentscheedung beim System, deem d’Ressource gehéiert, an net bei der Routingstabell.

Den Duerchgang funktionéiert nëmmen, wann béid Stäcke se implementéieren

Den Duerchgang tëschent Gläichgestellten ass eng Fäegkeet vun engem bestëmmten System, net eng Astellung, déi eng VPN verbessert. Interactive Connectivity Establishment sammelet e puer Kandidatadressen a testet Pueren, bis eng funktionéiert: Hostkandidaten op lokalen Interfaces, Server-reflektiv Kandidaten aus deem, wat en NAT verroden, an iwwer e Relais zougewisen Kandidaten. Eng privat Adress eleng ass kee Wee, well déi aner Säit net dohinner route kann.

De Fall mam Relais ass et wäert, verstanen ze ginn, ier en ofgeleent gëtt. RFC 8656 beschreift TURN als e Protokoll, an deem e Client e Server no enger iwwer de Relais geluedener Transportadress freet an de Server den Traffic tëschent dësem Client a senge Gläichgestellten weiderleet. Den Relais dréit also d’Donnéeën, wat wesentlech anescht ass wéi en Verzeechnes, dat nëmmen hëlleft, datt Endpunkten sech begéinen. D’Relaisadress mam Géigeniwwer auszetauschen ass e Koordinatiounsschrëtt, deen d’Applikatioun muss maachen.

Wat Dir net versprieche kënnt, ass en direkte Wee. Symmetreschen NAT an e puer Entreprise-Firewallen iwwerwannen d’Lachbueren, an wann dat geschitt, fält d’System entweder op e Relais zréck oder versoe sech. Dir kënnt och net doraus schléissen, datt zwou iwwersaten Endpunkten ni kënne schwätzen; e ënnerstëtzte Stack mat Relais-Fallback existéiert genee dofir, well se et dacks kënnen. Entscheet, ob d’Disponibilitéit oder d’Direktheet méi wichteg ass, a verifizéiert duerno, wéi de Wee d’Deployement tatsächlech gewielt huet, amplaz de gudde Fall unzehuelen.

E Broker ass méi schmuel wéi en Netz

Wann d’Ufuerderung eng eenzeg Applikatioun ass, kann eng App-Broker oder eng ëmgedréit Verbindung, déi d’Workstation ufänkt, déi klengst Äntwert sinn. D’Workstation wielt no baussen op en Broker, de Broker authentifizéiert deen entfernte Benotzer, an et gëtt nëmmen déi Applikatiounssessioun gedroen. Et gëtt keng Route an de Subnetz vun der Workstation geschaf, sou datt eng Kompromittéierung vun der entfernter Sessioun kee Wee op all Apparat niewendrun ierft.

Déi Schmuelsheet huet e Präis: all zousätzlech Applikatioun brauch hir eegen Integratioun, an alles, wat d’Applikatioun iwwer e lokalen Netz unhuelen, wéi eng Dateifreigabe, déi se op engem noe Server opmécht, ass vläicht net erreechbar. Brokere konzentréieren och Politik a Logging op eng Plaz, wat nëtzlech ass, bis déi Plaz zur Stéierung gëtt.

Vergläicht Vertrauensgrenzen, testt duerno de Wee

En Hub, deen Tunnelen ennd, kann den Traffic liesen, deen en routet. En Relais kann en onofhängeg geschützten Austausch droen, wann d’Applikatioun vum Enn bis zum Enn verschlësselt, an e Broker ennd normalerweis d’Sessioun, déi en presentéiert. Bestëmmt, wou de Schutz tatsächlech op en Enn geet, ier Dir entscheet, datt zwee Designen gläichwäerteg sinn, well béid verschlësselt sinn.

Préift duerno, wat d’Workstation tatsächlech no baussen erreecht, well all Design hei uewen dovun ofhänkt. Maacht dëst op der Workstation, an ersetzt den Hostnumm, deen Dir gedenkt ze benotzen.

ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.com

Akzeptéiert d’Design eréischt, nodeems déi virgesinn entfernt Operatioun ënner der erlabter Identitéit geléngt, eng net guttgeheescht Identitéit ofgeleent gëtt, an d’Verhalen, wann de direkte Wee oder de Wee iwwer de Relais net verfügbar ass, bekannt an dokumentéiert ass. Huelt eng Reconnectioun an de normale Startkontext vun der Workstation mat, well eng Sessioun, déi am Büro iwwer de LAN ugefaang huet, näischt test, vun deem den entfernten Zougrëff ofhänkt.