Mencapai stesen kerja di belakang NAT tanpa pemajuan port

Dua titik akhir di belakang NAT pembawa dan penghala pejabat yang berkunci tidak meninggalkan sebarang port masuk untuk dimajukan, dan refleksnya ialah meminta satu juga. Soalan yang lebih baik ialah sisi mana yang boleh mendail keluar dan perkhidmatan capaian mana yang dibenarkan membawa trafik. Empat reka bentuk menjawab soalan itu secara berbeza, dan ia gagal dengan cara berbeza apabila laluan disekat. Memilih antara mereka ialah perbandingan jaminan, bukan nama protokol.

Empat reka bentuk, empat janji berbeza

Jadual di bawah ialah versi pendek. Baca lajur tengah sebagai janji yang boleh anda uji, dan lajur kanan sebagai janji yang tiada siapa berikan.

Baris mana yang terpakai bergantung pada tugas dan bukan pada keutamaan. Satu sesi desktop jauh, satu shell pentadbiran dan akses kepada seluruh subniat peribadi ialah tiga keperluan yang tidak memerlukan titik masuk yang sama, walaupun ia kebetulan melibatkan mesin yang sama.

Hab mengubah siapa yang mendail keluar, bukan apa yang dibenarkan

Dalam reka bentuk hab berpenghalaan, komputer riba jauh dan stesen kerja, atau get laluan tapak di hadapannya, masing-masing membuka terowong keluar ke perkhidmatan yang boleh dicapai oleh kedua-duanya. Tiada apa yang menerima sambungan tanpa diminta pada penghala stesen kerja, dan itulah sebabnya reka bentuk ini bertahan dengan NAT dan masih berfungsi walaupun tapak tidak mempunyai alamat statik. Hab kemudian menghalakan trafik antara dua alamat dalaman mengikut dasarnya sendiri.

Kosnya ialah hab mesti wujud, mesti boleh dicapai dari kedua-dua belah dan seseorang mesti mengendalikannya. Penapisan keluar mesti membenarkan pengangkutan, dan rangkaian yang menyekatnya akan menggagalkan reka bentuk walaupun tiada pemajuan port diperlukan.

Bahagian halusnya ialah kebolehcapaian dan kebenaran ialah keputusan berasingan yang dibuat di tempat berbeza. Laluan ke sesuatu awalan tidak mengatakan apa-apa tentang perkhidmatan mana pada stesen kerja yang boleh digunakan oleh identiti itu, dan peraturan tembok api yang membenarkan terowong tidak mengatakan apa-apa tentang sama ada akaun boleh log masuk. Konfigurasikan kedua-duanya, uji kedua-duanya, dan simpan keputusan kebenaran pada sistem yang memiliki sumber itu dan bukan pada jadual penghalaan.

Pemelintasan hanya berfungsi apabila kedua-dua tindanan melaksanakannya

Pemelintasan antara rakan setara ialah keupayaan sistem tertentu, bukan tetapan yang memperbaiki VPN. Interactive Connectivity Establishment mengumpul beberapa alamat calon dan menguji pasangan sehingga satu berfungsi: calon hos pada antara muka tempatan, calon pantulan pelayan yang dibina daripada apa yang didedahkan oleh NAT, dan calon geganti yang diperuntukkan pada geganti. Alamat peribadi sahaja bukan laluan, kerana pihak lain tidak boleh menghalakan kepadanya.

Kes geganti wajar difahami sebelum ditolak. RFC 8656 menerangkan TURN sebagai protokol di mana klien meminta alamat pengangkutan geganti daripada pelayan dan pelayan memajukan trafik antara klien itu dan rakan setaranya. Jadi geganti membawa data, yang berbeza secara material daripada direktori yang hanya membantu titik akhir bertemu. Menukar alamat geganti dengan pihak lain ialah langkah penyelarasan yang mesti dilakukan oleh aplikasi.

Yang tidak dapat anda janjikan ialah laluan langsung. NAT simetri dan sesetengah tembok api perusahaan mengalahkan penggerudian lubang, dan apabila itu berlaku sistem sama ada berundur ke geganti atau gagal. Anda juga tidak boleh membuat kesimpulan bahawa dua titik akhir terjemahan tidak akan pernah boleh bercakap; tindanan yang disokong dengan sandaran geganti wujud justru kerana mereka sering boleh. Tentukan sama ada ketersediaan atau kelangsungan langsung lebih penting, kemudian sahkan laluan mana yang sebenarnya dipilih oleh penggunaan itu dan bukannya menganggap kes yang menguntungkan.

Broker lebih sempit daripada rangkaian

Apabila keperluan ialah satu aplikasi, broker aplikasi atau sambungan songsang yang dimulakan oleh stesen kerja boleh menjadi jawapan terkecil. Stesen kerja mendail keluar kepada broker, broker mengesahkan pengguna jauh, dan hanya sesi aplikasi itu dibawa. Tiada laluan ke subniat stesen kerja dicipta, jadi kompromi sesi jauh tidak mewarisi laluan ke setiap peranti di sebelahnya.

Kesempitan itu mempunyai harga: setiap aplikasi tambahan memerlukan integrasinya sendiri, dan apa sahaja yang diandaikan oleh aplikasi tentang rangkaian tempatan, seperti perkongsian fail yang dibukanya pada pelayan berdekatan, mungkin tidak dapat dicapai. Broker juga memusatkan dasar dan pencatatan di satu tempat, yang berguna sehingga tempat itu menjadi gangguan.

Bandingkan sempadan kepercayaan, kemudian uji laluan

Hab yang menamatkan terowong boleh membaca trafik yang dihalakannya. Geganti boleh membawa pertukaran yang dilindungi secara bebas apabila aplikasi menyulitkan hujung ke hujung, dan broker biasanya menamatkan sesi yang dibentangkannya. Tetapkan di mana perlindungan sebenarnya berakhir sebelum memutuskan bahawa dua reka bentuk adalah setara kerana kedua-duanya disulitkan.

Kemudian periksa apa yang sebenarnya dicapai oleh stesen kerja ke luar, kerana setiap reka bentuk di atas bergantung padanya. Jalankan ini pada stesen kerja, gantikan nama hos yang anda mahu gunakan.

ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.com

Terima reka bentuk hanya selepas operasi jauh yang dimaksudkan berjaya di bawah identiti yang dibenarkan, identiti yang tidak diluluskan ditolak, dan tingkah laku apabila laluan langsung atau geganti tidak tersedia diketahui serta didokumentasikan. Sertakan sambungan semula dan konteks permulaan biasa stesen kerja, kerana sesi yang bermula di pejabat melalui LAN tidak menguji apa-apa yang bergantung pada akses jauh.