Sasniegt darbstaciju aiz NAT bez porta pāradresēšanas

Divi galapunkti aiz operatora NAT un bloķēts biroja maršrutētājs neatstāj nevienu ienākošo portu pāradresēšanai, un reflekss tomēr ir to pieprasīt. Labāks jautājums ir, kura puse var zvanīt uz āru un kuram sasniedzamam servisam ir atļauts pārnēsāt datplūsmu. Četras konstrukcijas uz šo jautājumu atbild dažādi, un tās neizdodas dažādi, kad ceļš ir bloķēts. Izvēle starp tām ir garantiju, nevis protokolu nosaukumu salīdzinājums.

Četras konstrukcijas, četri dažādi solījumi

Zemāk esošā tabula ir īsā versija. Lasiet vidējo kolonnu kā solījumu, ko varat pārbaudīt, un labo kolonnu kā solījumu, ko neviens nav devis.

Kura rinda attiecas, ir atkarīgs no uzdevuma, nevis no izvēles. Viena attālās darbvirsmas sesija, viena administratīvā čaula un piekļuve visam privātajam apakštīklam ir trīs prasības, kurām nav vajadzīgs viens un tas pats ievades punkts, pat ja tās nejauši attiecas uz vienu un to pašu mašīnu.

Koncentrators maina to, kurš zvana uz āru, nevis to, kas ir atļauts

Konstrukcijā ar maršrutētu koncentratoru attālais klēpjdators un darbstacija, vai vietnes vārteja tās priekšā, katra atver izejošu tuneli uz servisu, ko abas var sasniegt. Nekas nepieņem nepieprasītu savienojumu darbstacijas maršrutētājā, un tieši tāpēc šī konstrukcija iztur NAT un darbojas arī tad, ja vietnei nav statiskas adreses. Pēc tam koncentrators maršrutē datplūsmu starp divām iekšējām adresēm saskaņā ar savu politiku.

Izmaksa ir tā, ka koncentratoram ir jāpastāv, jābūt sasniedzamam no abām pusēm un kādam tas ir jāpārvalda. Izejošajai filtrēšanai ir jāļauj transports, un tīkls, kas to bloķē, izjauks konstrukciju, pat ja porta pāradresēšana nebija vajadzīga.

Smalkā daļa ir tā, ka sasniedzamība un autorizācija ir atsevišķi lēmumi, kas pieņemti dažādās vietās. Maršruts uz prefiksu neko nepasaka par to, kuru darbstacijas servisu identitāte drīkst izmantot, un ugunsmūra noteikums, kas atļauj tuneli, neko nepasaka par to, vai konts var ierakstīties. Konfigurējiet abus, pārbaudiet abus un atstājiet autorizācijas lēmumu sistēmai, kurai pieder resurss, nevis maršrutēšanas tabulai.

Caureja darbojas tikai tad, ja to ievieš abi steki

Caureja starp vienaudžiem ir konkrētas sistēmas spēja, nevis iestatījums, kas uzlabo VPN. Interactive Connectivity Establishment apkopo vairākas kandidātu adreses un pārbauda pārus, līdz viens darbojas: resursdatora kandidāti lokālajos saskarnēs, servera atspulga kandidāti, kas veidoti no tā, ko atklāj NAT, un retranslatora kandidāti, kas piešķirti retranslatorā. Privāta adrese vien pati par sevi nav ceļš, jo otra puse nevar uz to maršrutēt.

Retranslatora gadījumu ir vērts saprast pirms tā atmešanas. RFC 8656 apraksta TURN kā protokolu, kurā klients lūdz serverim retranslatora transporta adresi, un serveris pārsūta datplūsmu starp šo klientu un tā vienaudžiem. Tātad datus pārnēsā retranslators, kas būtiski atšķiras no kataloga, kas tikai palīdz galapunktiem satikties. Retranslatora adreses apmaiņa ar otru pusi ir koordinācijas solis, kas lietotnei ir jāveic.

Ko jūs nevarat apsolīt, ir tiešs ceļš. Simetriskais NAT un dažas uzņēmumu ugunsmūri pārvar caurumu urbšanu, un, kad tas notiek, sistēma vai nu atkāpjas uz retranslatoru, vai neizdodas. Jūs arī nevarat secināt, ka divi tulkoti galapunkti nekad nevarēs sarunāties; atbalstīts steks ar retranslatora rezerves variantu pastāv tieši tāpēc, ka tie bieži var. Izlemiet, vai svarīgāka ir pieejamība vai tiešums, pēc tam pārbaudiet, kuru ceļu izvietojums faktiski izvēlējās, nevis pieņemiet labvēlīgo gadījumu.

Brokeris ir šaurāks par tīklu

Kad prasība ir viena lietotne, lietotņu brokeris vai darbstacijas sākts apgrieztais savienojums var būt mazākā atbilde. Darbstacija zvana uz āru brokerim, brokeris autentificē attālo lietotāju, un tiek pārnēsāta tikai šī lietotnes sesija. Maršruts uz darbstacijas apakštīklu netiek izveidots, tāpēc attālās sesijas kompromitācija nemanto ceļu uz katru ierīci blakus.

Šai šaurībai ir sava cena: katrai papildu lietotnei vajadzīga sava integrācija, un viss, ko lietotne pieņem par lokālo tīklu, piemēram, failu koplietošana, ko tā atver tuvējā serverī, var būt nesasniedzams. Brokeri arī koncentrē politiku un reģistrēšanu vienā vietā, kas ir noderīgi, līdz šī vieta kļūst par pārtraukumu.

Salīdziniet uzticēšanās robežas, pēc tam pārbaudiet ceļu

Koncentrators, kas pārtrauc tuneļus, var lasīt datplūsmu, ko tas maršrutē. Retranslators var pārnēsāt neatkarīgi aizsargātu apmaiņu, kad lietotne šifrē no gala līdz galam, un brokeris parasti pārtrauc sesiju, ko tas prezentē. Nosakiet, kur aizsardzība patiešām beidzas, pirms izlemt, ka divas konstrukcijas ir līdzvērtīgas tāpēc, ka abas ir šifrētas.

Pēc tam pārbaudiet, ko darbstacija faktiski sasniedz izejošā virzienā, jo katra iepriekš minētā konstrukcija no tā ir atkarīga. Izpildiet to darbstacijā, aizstājot resursdatora nosaukumu, ko plānojat izmantot.

ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.com

Pieņemiet konstrukciju tikai pēc tam, kad paredzētā attālā darbība izdodas atļautās identitātes ietvaros, neapstiprināta identitāte tiek noraidīta, un uzvedība, kad tiešais vai retranslatora ceļš nav pieejams, ir zināma un dokumentēta. Iekļaujiet atkārtotu savienojumu un darbstacijas parasto starta kontekstu, jo sesija, kas sākta birojā caur LAN, nepārbauda neko, no kā atkarīga attālā piekļuve.