Достап до работна станица зад NAT без проследување порт

Две крајни точки зад NAT на операторот и заклучен канцелариски рутер не оставаат ниту еден влезен порт за проследување, а рефлексот е сепак да се побара еден. Подобро прашање е која страна може да ѕвони надвор и на која достапна услуга ѝ е дозволено да го носи сообраќајот. Четири дизајни одговараат на тоа прашање различно и не успеваат на различни начини кога патеката е блокирана. Изборот меѓу нив е споредба на гаранции, а не на имиња на протоколи.

Четири дизајни, четири различни ветувања

Табелата подолу е кратката верзија. Читајте ја средната колона како ветувањето што можете да го тестирате, а десната колона како ветувањето што никој не го дал.

Кој ред важи зависи од задачата, а не од претпочитањето. Една сесија за оддалечена работна површина, една административна обвивка и пристап до цела приватна подмрежа се три барања на кои не им треба иста влезна точка, дури и кога случајно се однесуваат на иста машина.

Центарот го менува тоа кој ѕвони надвор, а не што е дозволено

Во дизајн со рутиран центар, оддалечениот преносен сметач и работната станица, или портата на локацијата пред неа, секој отвора излезен тунел кон услуга достапна за двете страни. Ништо не прифаќа непобарана врска на рутерот на работната станица, и токму затоа овој дизајн го преживува NAT и работи дури и кога локацијата нема статична адреса. Потоа центарот го рутира сообраќајот помеѓу двете внатрешни адреси според сопствената политика.

Цената е што центарот мора да постои, да биде достапен од двете страни и некој да го управува. Филтрирањето на излезниот сообраќај мора да го дозволи транспортот, а мрежа што го блокира ќе го уништи дизајнот иако не било потребно проследување порт.

Суптилниот дел е што достапноста и авторизацијата се одделни одлуки донесени на различни места. Рутата во префикс не кажува ништо за тоа која услуга на работната станица идентитетот смее да ја користи, а правилото на огнен ѕид што го дозволува тунелот не кажува ништо за тоа дали сметката може да се најави. Конфигурирајте ги двете, тестирајте ги двете и задржете ја одлуката за авторизација кај системот што го поседува ресурсот, а не кај табелата за рутирање.

Пробивањето работи само кога двете стекови го имплементираат

Пробивањето меѓу рамноправни јазли е способност на конкретен систем, а не поставка што го подобрува VPN. Interactive Connectivity Establishment собира неколку кандидат-адреси и тестира парови додека еден не работи: кандидати за домаќин на локалните интерфејси, серверски рефлексивни кандидати изградени од она што го открива NAT и релејни кандидати доделени на реле. Само приватна адреса не е патека, бидејќи другата страна не може да рутира до неа.

Релејниот случај вреди да се разбере пред да се отфрли. RFC 8656 го опишува TURN како протокол во кој клиентот бара од серверот релејна транспортна адреса, а серверот го препраќа сообраќајот меѓу тој клиент и неговите рамноправни јазли. Значи релето ги носи податоците, што суштински се разликува од именик што само им помага на крајните точки да се сретнат. Размената на релејната адреса со другата страна е чекор на координација што апликацијата мора да го изврши.

Она што не можете да го ветите е директна патека. Симетричниот NAT и некои корпоративни огнени ѕидови го поразуваат дупчењето, и кога тоа ќе се случи, системот или се враќа на реле или не успева. Исто така не можете да заклучите дека две преведени крајни точки никогаш не можат да разговараат; поддржан стек со релејна резерва постои токму затоа што тие често можат. Одлучете дали достапноста или директноста е поважна, потоа проверете која патека всушност ја избрало распоредувањето наместо да ја претпоставите поволната состојба.

Брокерот е потесен од мрежа

Кога барањето е една апликација, брокер за апликации или обратна врска што ја започнува работната станица може да биде најмалиот одговор. Работната станица ѕвони надвор кон брокер, брокерот го автентицира оддалечениот корисник и се пренесува само таа апликациска сесија. Не се создава рута до подмрежата на работната станица, па компромитацијата на оддалечената сесија не наследува патека до секој уред до неа.

Таа тесност има цена: секоја дополнителна апликација бара сопствена интеграција, и сето што апликацијата претпоставува за локална мрежа, како споделување датотеки што го отвора на блискиот сервер, може да не биде достапно. Брокерите исто така концентрираат политика и евидентирање на едно место, што е корисно додека тоа место не стане прекин.

Споредете ги границите на доверба, потоа тестирајте ја патеката

Центар што ги завршува тунелите може да го чита сообраќајот што го рутира. Релето може да носи независно заштитена размена кога апликацијата шифрира од крај до крај, а брокерот обично ја завршува сесијата што ја презентира. Утврдете каде заштитата всушност завршува пред да одлучите дека два дизајни се еквивалентни затоа што и двата се шифрирани.

Потоа проверете до што работната станица всушност достигнува надвор, бидејќи секој дизајн погоре зависи од тоа. Извршете го ова на работната станица, заменувајќи го името на домаќинот што имате намера да го користите.

ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.com

Прифатете го дизајнот само откако предвидената оддалечена операција ќе успее под дозволениот идентитет, неодобрениот идентитет ќе биде одбиен, и однесувањето кога директната или релејната патека не е достапна е познато и документирано. Вклучете повторно поврзување и нормалниот контекст на стартување на работната станица, бидејќи сесија што започнала во канцеларија преку LAN не тестира ништо од она од што зависи оддалечениот пристап.