പോർട്ട് ഫോർവേഡിംഗ് ഇല്ലാതെ NAT-ന് പിന്നിലുള്ള വർക്ക്സ്റ്റേഷനിൽ എത്തുക
ഇൻബൗണ്ട് പോർട്ട് ഇല്ലാത്ത വർക്ക്സ്റ്റേഷനും ഹബ്, റിലേ അല്ലെങ്കിൽ ആപ്പ് ബ്രോക്കർ വഴി എത്താനാകും. ഒന്ന് തിരഞ്ഞെടുക്കുന്നതിന് മുമ്പ് ഓരോ ഡിസൈനും എന്താണ് ഉറപ്പ് നൽകുന്നതെന്ന് താരതമ്യം ചെയ്യുക.
കാരിയർ NAT-നും ലോക്ക് ചെയ്ത ഓഫീസ് റൗട്ടറിനും പിന്നിലുള്ള രണ്ട് എൻഡ്പോയിന്റുകൾ ഫോർവേഡ് ചെയ്യാൻ ഒരു ഇൻബൗണ്ട് പോർട്ടും വിടുന്നില്ല, എന്നിട്ടും ഒന്ന് ചോദിക്കുകയാണ് പ്രതികരണം. കൂടുതൽ നല്ല ചോദ്യം ഏത് വശത്തിന് പുറത്തേക്ക് ഡയൽ ചെയ്യാമെന്നും ഏത് എത്താവുന്ന സേവനത്തിന് ട്രാഫിക് വഹിക്കാൻ അനുമതിയുണ്ടെന്നുമാണ്. നാല് ഡിസൈനുകൾ ഈ ചോദ്യത്തിന് വ്യത്യസ്തമായി ഉത്തരം നൽകുന്നു, പാത തടയപ്പെടുമ്പോൾ അവ വ്യത്യസ്ത രീതിയിൽ പരാജയപ്പെടുന്നു. അവയിൽ നിന്ന് തിരഞ്ഞെടുക്കുന്നത് പ്രോട്ടോക്കോൾ പേരുകളുടെയല്ല, ഉറപ്പുകളുടെ താരതമ്യമാണ്.
നാല് ഡിസൈനുകൾ, നാല് വ്യത്യസ്ത വാഗ്ദാനങ്ങൾ
താഴെയുള്ള പട്ടിക ചുരുങ്ങിയ പതിപ്പാണ്. നടുവിലെ കോളം നിങ്ങൾക്ക് പരിശോധിക്കാവുന്ന വാഗ്ദാനമായും വലതുവശത്തെ കോളം ആരും നൽകാത്ത വാഗ്ദാനമായും വായിക്കുക.
| Design | Who initiates | Promise you get | Promise you do not get |
|---|---|---|---|
| Routed VPN hub | Both ends, outbound to the hub | A routed path to permitted prefixes | Access to services no policy allows |
| Peer traversal with ICE | Both peers to a rendezvous service | A path tested between the two peers | A direct path through every NAT |
| TURN relay | Client outbound to a relay | Transport that survives symmetric NAT | Peer discovery or a usable directory |
| Application broker | Workstation outbound to a broker | One audited application session | Subnet-wide reachability |
ഏത് വരി ബാധകമാകുന്നത് മുൻഗണനയല്ല, ജോലിയെ ആശ്രയിച്ചിരിക്കുന്നു. ഒരു വിദൂര ഡെസ്ക്ടോപ്പ് സെഷൻ, ഒരു അഡ്മിനിസ്ട്രേറ്റീവ് ഷെൽ, മുഴുവൻ സ്വകാര്യ സബ്നെറ്റിലേക്കുള്ള പ്രവേശനം — ഇവ ഒരേ പ്രവേശന കേന്ദ്രം ആവശ്യപ്പെടാത്ത മൂന്ന് ആവശ്യകതകളാണ്, അവ യാദൃച്ഛികമായി ഒരേ യന്ത്രവുമായി ബന്ധപ്പെട്ടാലും.
ആരാണ് പുറത്തേക്ക് ഡയൽ ചെയ്യുന്നത് എന്നത് ഹബ് മാറ്റുന്നു, എന്താണ് അനുവദനീയം എന്നതല്ല
റൂട്ട് ചെയ്ത ഹബ് ഡിസൈനിൽ വിദൂര ലാപ്ടോപ്പും വർക്ക്സ്റ്റേഷനും, അല്ലെങ്കിൽ അതിന് മുന്നിലുള്ള സൈറ്റ് ഗേറ്റ്വേയും, ഇരുവർക്കും എത്താവുന്ന ഒരു സേവനത്തിലേക്ക് പുറത്തേക്കുള്ള ടണൽ തുറക്കുന്നു. വർക്ക്സ്റ്റേഷന്റെ റൗട്ടറിൽ ആവശ്യപ്പെടാത്ത ഒരു കണക്ഷനും സ്വീകരിക്കുന്നില്ല, അതുകൊണ്ടാണ് ഈ ഡിസൈൻ NAT-നെ അതിജീവിക്കുന്നതും സൈറ്റിന് സ്ഥിര വിലാസം ഇല്ലാത്തപ്പോഴും പ്രവർത്തിക്കുന്നതും. തുടർന്ന് ഹബ് സ്വന്തം നയപ്രകാരം രണ്ട് ആന്തരിക വിലാസങ്ങൾക്കിടയിൽ ട്രാഫിക് റൂട്ട് ചെയ്യുന്നു.
വില എന്നത് ഹബ് നിലനിൽക്കണം, രണ്ട് വശത്തുനിന്നും എത്താവുന്നതാകണം, ആരെങ്കിലും അത് പ്രവർത്തിപ്പിക്കണം എന്നതാണ്. പുറത്തേക്കുള്ള ഫിൽട്ടറിംഗ് ഗതാഗതം അനുവദിക്കണം, അത് തടയുന്ന ഒരു നെറ്റ്വർക്ക് പോർട്ട് ഫോർവേഡിംഗ് ആവശ്യമില്ലെങ്കിലും ഡിസൈനെ തകർക്കും.
സൂക്ഷ്മമായ ഭാഗം എന്നത് എത്താവുന്നതും അനുമതിയും വ്യത്യസ്ത സ്ഥലങ്ങളിൽ എടുക്കുന്ന വേറിട്ട തീരുമാനങ്ങളാണ് എന്നതാണ്. ഒരു പ്രിഫിക്സിലേക്കുള്ള റൂട്ട് വർക്ക്സ്റ്റേഷനിലെ ഏത് സേവനം ഐഡന്റിറ്റിക്ക് ഉപയോഗിക്കാമെന്ന് ഒന്നും പറയുന്നില്ല, ടണൽ അനുവദിക്കുന്ന ഫയർവാൾ നിയമം അക്കൗണ്ടിന് ലോഗിൻ ചെയ്യാമോ എന്ന് ഒന്നും പറയുന്നില്ല. രണ്ടും കോൺഫിഗർ ചെയ്യുക, രണ്ടും പരിശോധിക്കുക, അനുമതി തീരുമാനം റൂട്ടിംഗ് പട്ടികയുടെയല്ല, വിഭവം സ്വന്തമാക്കിയ സിസ്റ്റത്തിന്റെ അടുത്ത് സൂക്ഷിക്കുക.
രണ്ട് സ്റ്റാക്കുകളും അത് നടപ്പാക്കുമ്പോൾ മാത്രമേ ട്രാവേഴ്സൽ പ്രവർത്തിക്കൂ
സമതല എൻഡ്പോയിന്റുകൾക്കിടയിലുള്ള ട്രാവേഴ്സൽ ഒരു നിർദ്ദിഷ്ട സിസ്റ്റത്തിന്റെ കഴിവാണ്, VPN മെച്ചപ്പെടുത്തുന്ന ക്രമീകരണമല്ല. Interactive Connectivity Establishment നിരവധി സ്ഥാനാർഥി വിലാസങ്ങൾ ശേഖരിച്ച് ഒന്ന് പ്രവർത്തിക്കുന്നതുവരെ ജോഡികൾ പരിശോധിക്കുന്നു: പ്രാദേശിക ഇന്റർഫേസുകളിലെ ഹോസ്റ്റ് സ്ഥാനാർഥികൾ, NAT വെളിപ്പെടുത്തുന്നതിൽ നിന്ന് നിർമ്മിച്ച സർവർ-പ്രതിഫലന സ്ഥാനാർഥികൾ, റിലേയിൽ അനുവദിച്ച റിലേ സ്ഥാനാർഥികൾ. സ്വകാര്യ വിലാസം മാത്രം പാതയല്ല, മറുവശത്തിന് അങ്ങോട്ട് റൂട്ട് ചെയ്യാനാകില്ല.
റിലേ ചെയ്യുന്ന കേസ് തള്ളിക്കളയുന്നതിന് മുമ്പ് മനസ്സിലാക്കുന്നത് മൂല്യവത്താണ്. RFC 8656 TURN-നെ, ക്ലയന്റ് സർവറിനോട് റിലേ ചെയ്ത ഗതാഗത വിലാസം ആവശ്യപ്പെടുകയും സർവർ ആ ക്ലയന്റിനും അതിന്റെ സമതലങ്ങൾക്കുമിടയിൽ ട്രാഫിക് കൈമാറുകയും ചെയ്യുന്ന പ്രോട്ടോക്കോളായി വിവരിക്കുന്നു. അതിനാൽ ഡാറ്റ വഹിക്കുന്നത് റിലേയാണ്, ഇത് എൻഡ്പോയിന്റുകൾ കണ്ടുമുട്ടാൻ മാത്രം സഹായിക്കുന്ന ഡയറക്ടറിയിൽ നിന്ന് അടിസ്ഥാനപരമായി വ്യത്യസ്തമാണ്. റിലേ വിലാസം മറുവശവുമായി കൈമാറുന്നത് ആപ്പ് ചെയ്യേണ്ട ഏകോപന ഘട്ടമാണ്.
നിങ്ങൾക്ക് വാഗ്ദാനം ചെയ്യാനാകാത്തത് നേരിട്ടുള്ള പാതയാണ്. സമമിത NAT-ഉം ചില എന്റർപ്രൈസ് ഫയർവാളുകളും ദ്വാരം കുത്തുന്നതിനെ തോൽപ്പിക്കുന്നു, അങ്ങനെ സംഭവിക്കുമ്പോൾ സിസ്റ്റം ഒന്നുകിൽ റിലേയിലേക്ക് പിൻവാങ്ങുന്നു അല്ലെങ്കിൽ പരാജയപ്പെടുന്നു. വിവർത്തനം ചെയ്ത രണ്ട് എൻഡ്പോയിന്റുകൾക്ക് ഒരിക്കലും സംസാരിക്കാനാകില്ലെന്നും നിങ്ങൾക്ക് അനുമാനിക്കാനാകില്ല; റിലേ ബാക്ക്അപ്പുള്ള പിന്തുണയുള്ള സ്റ്റാക്ക് ഉള്ളത് അവർ പലപ്പോഴും സംസാരിക്കാനാകുന്നതുകൊണ്ടാണ്. ലഭ്യതയാണോ നേരിട്ടുള്ളതാണോ പ്രധാനമെന്ന് തീരുമാനിക്കുക, തുടർന്ന് അനുകൂല സാഹചര്യം അനുമാനിക്കുന്നതിനുപകരം വിന്യാസം യഥാർത്ഥത്തിൽ ഏത് പാത തിരഞ്ഞെടുത്തുവെന്ന് പരിശോധിക്കുക.
നെറ്റ്വർക്കിനെക്കാൾ ഇടുങ്ങിയതാണ് ബ്രോക്കർ
ആവശ്യകത ഒരു ആപ്പ് ആയിരിക്കുമ്പോൾ, ആപ്പ് ബ്രോക്കറോ വർക്ക്സ്റ്റേഷൻ ആരംഭിക്കുന്ന റിവേഴ്സ് കണക്ഷനോ ചെറിയ ഉത്തരമായിരിക്കാം. വർക്ക്സ്റ്റേഷൻ പുറത്തേക്ക് ബ്രോക്കറിലേക്ക് ഡയൽ ചെയ്യുന്നു, ബ്രോക്കർ വിദൂര ഉപയോക്താവിനെ പ്രാമാണീകരിക്കുന്നു, ആ ആപ്പ് സെഷൻ മാത്രം വഹിക്കപ്പെടുന്നു. വർക്ക്സ്റ്റേഷന്റെ സബ്നെറ്റിലേക്ക് ഒരു റൂട്ടും സൃഷ്ടിക്കുന്നില്ല, അതിനാൽ വിദൂര സെഷന്റെ വിട്ടുവീഴ്ച അതിനടുത്തുള്ള ഓരോ ഉപകരണത്തിലേക്കും പാത പാരമ്പര്യമായി നേടുന്നില്ല.
ഈ ഇടുക്കത്തിന് വിലയുണ്ട്: ഓരോ അധിക ആപ്പിനും അതിന്റേതായ സംയോജനം വേണം, ആപ്പ് പ്രാദേശിക നെറ്റ്വർക്കിനെക്കുറിച്ച് അനുമാനിക്കുന്ന എന്തും, ഉദാഹരണത്തിന് അടുത്ത സർവറിൽ തുറക്കുന്ന ഫയൽ പങ്കിടൽ, എത്താനാകാത്തതായിരിക്കാം. ബ്രോക്കറുകൾ നയവും ലോഗിംഗും ഒരിടത്ത് കേന്ദ്രീകരിക്കുന്നു, അത് ആ സ്ഥലം തടസ്സമാകുന്നതുവരെ ഉപയോഗപ്രദമാണ്.
വിശ്വാസ അതിർത്തികൾ താരതമ്യം ചെയ്യുക, തുടർന്ന് പാത പരിശോധിക്കുക
ടണലുകൾ അവസാനിപ്പിക്കുന്ന ഹബ്ബിന് താൻ റൂട്ട് ചെയ്യുന്ന ട്രാഫിക് വായിക്കാനാകും. ആപ്പ് എൻഡ്-ടു-എൻഡ് എൻക്രിപ്റ്റ് ചെയ്യുമ്പോൾ റിലേ സ്വതന്ത്രമായി സംരക്ഷിച്ച കൈമാറ്റം വഹിക്കാം, ബ്രോക്കർ സാധാരണയായി താൻ അവതരിപ്പിക്കുന്ന സെഷൻ അവസാനിപ്പിക്കുന്നു. രണ്ടും എൻക്രിപ്റ്റ് ചെയ്തതിനാൽ രണ്ട് ഡിസൈനുകളും തുല്യമാണെന്ന് തീരുമാനിക്കുന്നതിന് മുമ്പ് സംരക്ഷണം യഥാർത്ഥത്തിൽ എവിടെ അവസാനിക്കുന്നുവെന്ന് നിർണ്ണയിക്കുക.
തുടർന്ന് വർക്ക്സ്റ്റേഷൻ പുറത്തേക്ക് യഥാർത്ഥത്തിൽ എവിടെ എത്തുന്നുവെന്ന് പരിശോധിക്കുക, മുകളിലുള്ള ഓരോ ഡിസൈനും അതിനെ ആശ്രയിച്ചിരിക്കുന്നു. നിങ്ങൾ ഉപയോഗിക്കാൻ ഉദ്ദേശിക്കുന്ന ഹോസ്റ്റ്നാമിന് പകരം വച്ച് ഇത് വർക്ക്സ്റ്റേഷനിൽ പ്രവർത്തിപ്പിക്കുക.
ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.comഅനുവദിച്ച ഐഡന്റിറ്റിക്ക് കീഴിൽ ഉദ്ദേശിച്ച വിദൂര പ്രവർത്തനം വിജയിച്ചതിനും, അനുവദിക്കാത്ത ഐഡന്റിറ്റി നിരസിക്കപ്പെട്ടതിനും, നേരിട്ടുള്ള അല്ലെങ്കിൽ റിലേ പാത ലഭ്യമല്ലാത്തപ്പോഴുള്ള പെരുമാറ്റം അറിയപ്പെട്ട് രേഖപ്പെടുത്തിയതിനും ശേഷം മാത്രം ഡിസൈൻ സ്വീകരിക്കുക. വീണ്ടും കണക്റ്റ് ചെയ്യലും വർക്ക്സ്റ്റേഷന്റെ സാധാരണ സ്റ്റാർട്ടപ്പ് സന്ദർഭവും ഉൾപ്പെടുത്തുക, ഓഫീസിൽ LAN വഴി ആരംഭിച്ച സെഷൻ വിദൂര പ്രവേശനം ആശ്രയിക്കുന്ന ഒന്നും പരിശോധിക്കുന്നില്ല.