د NAT شاته د کار سټیشن ته د پورټ پرته رسیدل
د ننوتلو پورټ نه لرونکی کاري سټیشن هم د هب، ریلې یا د اپلیکیشن بروکر له لارې د لاسرسي وړ دی. د یو غوره کولو دمخه پرتله کړئ چې هر ډیزاین څه تضمین کوي.
د کیریر NAT او تړل شوي دفتر ریوټر شاته دوه پای ټکي د لېږدولو لپاره هېڅ ننوتلو پورټ نه پرېږدي، او غبرګون بیا هم یو غوښتل دی۔ غوره پوښتنه دا ده چې کوم اړخ کولی شي بهر ته زنګ ووهي او کوم د لاسرسي وړ خدمت ته اجازه ده چې ترافیک یوسي۔ څلور ډیزاینونه دې پوښتنې ته په بېلو لارو ځواب وایي، او کله چې لاره بنده شي په بېلو لارو ناکامېږي۔ د دوی ترمنځ انتخاب د پروتوکول نومونو نه، بلکې د تضمینونو پرتله ده۔
څلور ډیزاینونه، څلور بېلې ژمنې
لاندې جدول لنډه نسخه ده۔ منځنی کالم د هغې ژمنې په توګه ولولئ چې تاسو یې ازموینه کولی شئ، او ښي کالم د هغې ژمنې په توګه چې هیچا نه ده ورکړې۔
| Design | Who initiates | Promise you get | Promise you do not get |
|---|---|---|---|
| Routed VPN hub | Both ends, outbound to the hub | A routed path to permitted prefixes | Access to services no policy allows |
| Peer traversal with ICE | Both peers to a rendezvous service | A path tested between the two peers | A direct path through every NAT |
| TURN relay | Client outbound to a relay | Transport that survives symmetric NAT | Peer discovery or a usable directory |
| Application broker | Workstation outbound to a broker | One audited application session | Subnet-wide reachability |
کومه کرښه پلي کېږي دا د خوښې نه، بلکې د دندې پورې اړه لري۔ یو لرې ډیسکټاپ ناسته، یو اداري شل او د بشپړ شخصي فرعي شبکې ته لاسرسی — دا درې اړتیاوې دي چې یو شان د ننوتلو نقطه نه غواړي، که څه هم په تصادف سره یوې ماشین پورې اړه ولري۔
هب بدلوي چې څوک بهر ته زنګ وهی، نه دا چې څه اجازه لري
په د لارښوونې وړ هب ډیزاین کې لرې لیپ ټاپ او کاري سټیشن، یا د هغې مخې ته د سایټ ګېټ وې، هر یو بهرته تلونکی تونل په داسې خدمت خلاصوي چې دواړه ورته رسېدلی شي۔ هېڅ شی د کاري سټیشن په ریوټر کې ناغوښتل شوې اړیکه نه مني، او همدا لامل دی چې دا ډیزاین له NAT څخه ژغورل کېږي او کله چې سایټ ثابته پته نه لري هم کار کوي۔ بیا هب د خپلې تګلارې له مخې د دوو داخلي پتو ترمنځ ترافیک لارښوونه کوي۔
بیه دا ده چې هب باید موجود وي، له دواړو خواوو د لاسرسي وړ وي او څوک یې چلوي۔ د وتلو فلټر باید ټرانسپورټ ته اجازه ورکړي، او هغه شبکه چې دا بندوي حتی که د پورټ لېږد ته اړتیا نه وي هم ډیزاین ناکاموي۔
نازک برخه دا ده چې لاسرسی او اجازه په بېلو ځایونو کې اخیستل شوې جلا پرېکړې دي۔ یوه مخکښ ته تلونکې لاره هېڅ نه وایي چې په کاري سټیشن کې کوم خدمت دا هویت کارولی شي، او هغه د اور دېوال قاعده چې تونل ته اجازه ورکوي هېڅ نه وایي چې آیا حساب ننوتلی شي۔ دواړه تنظیم کړئ، دواړه وازموئ، او د اجازې پرېکړه د لارښوونې جدول سره نه، بلکې د هغې سیسټم سره وساتئ چې سرچینه لري۔
تېرېدل یوازې هغه وخت کار کوي چې دواړه سټکونه یې پلي کړي
د برابرې درجې پایونو ترمنځ تېرېدل د یو ځانګړي سیسټم وړتیا ده، نه هغه تنظیم چې VPN ښه کوي۔ Interactive Connectivity Establishment څو نوماندې پتې راټولوي او جوړې ازموي تر څو یوه کار وکړي: په ځایي انټرفېسونو کې کوربه نوماندان، د سرور انعکاسي نوماندان چې له هغې څخه جوړ شوي چې NAT ښکاره کوي، او په ریلې کې ټاکل شوي ریلې نوماندان۔ یوازې شخصي پته لاره نه ده، ځکه بل اړخ نشي کولی هلته لارښوونه وکړي۔
د ریلې قضیه د ردولو دمخه د پوهاوي وړ ده۔ RFC 8656 TURN د داسې پروتوکول په توګه بیانوي چې پکې کلاینټ له سرور څخه ریلې شوې ټرانسپورټي پته غواړي او سرور د هغه کلاینټ او د هغه برابرانو ترمنځ ترافیک لېږدوي۔ نو ډاټا ریلې یوسي، چې له هغه لارښود څخه بنسټیز توپیر لري چې یوازې پایونو ته د لیدو کې مرسته کوي۔ د ریلې پتې له بل اړخ سره تبادله یو همغږي ګام دی چې اپلیکیشن باید ترسره کړي۔
هغه څه چې ژمنه یې نه شئ کولی مستقیمه لاره ده۔ متقابل NAT او څو تصدي بنسټیز د اور دېوالونه سوري کېدل ماتوي، او کله چې داسې شي سیسټم یا ریلې ته بېرته ځي یا ناکامېږي۔ دا هم نشئ کولی چې دوه ژباړل شوي پایونه هېڅکله خبرې نشي کولی؛ د ریلې بیک اپ سره ملاتړ شوی سټک همدا لامل لري چې ډېری وخت کولی شي۔ پرېکړه وکړئ چې لاسرسي مهمه ده که مستقیمتوب، بیا د مساعدې قضیې فرض کولو پرځای وګورئ چې ځای پرځای کول په ریښتیا کومه لاره غوره کړې۔
بروکر له شبکې څخه تنګتر دی
کله چې اړتیا یو اپلیکیشن وي، د اپلیکیشن بروکر یا کاري سټیشن پیل کړې معکوسه اړیکه ترټولو کوچنی ځواب کېدلی شي۔ کاري سټیشن بهر بروکر ته زنګ وهي، بروکر لرې کاروونکی تصدیقوي، او یوازې هغه اپلیکیشن ناسته یوړل کېږي۔ د کاري سټیشن فرعي شبکې ته هېڅ لاره نه جوړېږي، نو د لرې ناستې زیان څنګ ته د هر وسیلې لاره په میراث نه اخلي۔
دې تنګوالي بیه لري: هر اضافي اپلیکیشن خپله یوځای کېدنه غواړي، او هر څه چې اپلیکیشن د ځایي شبکې په اړه فرض کوي، لکه هغه دوتنه شریکول چې نږدې سرور کې خلاصوي، ممکن د لاسرسي وړ نه وي۔ بروکران تګلاره او ثبت په یو ځای کې متمرکزوي، دا تر هغه ګټور دی تر څو چې هماغه ځای خنډ شي۔
د باور پولې پرتله کړئ، بیا لاره وازموئ
هغه هب چې تونلونه پای ته رسوي کولی شي هغه ترافیک ولولي چې لارښوونه یې کوي۔ ریلې کولی شي په خپلواکه توګه ساتل شوې تبادله یوسي کله چې اپلیکیشن له سره تر سره کوډ کوي، او بروکر معمولاً هغه ناسته پای ته رسوي چې وړاندې یې کوي۔ مخکې لدې چې پرېکړه وکړئ دوه ډیزاینونه سره برابر دي ځکه دواړه کوډ شوي، وټاکئ چې ساتنه په ریښتیا چېرته پای ته رسېږي۔
بیا وګورئ چې کاري سټیشن بهر ته په ریښتیا چېرته رسېږي، ځکه پورتنۍ هر ډیزاین پرې تکیه ده۔ دا په کاري سټیشن کې چل کړئ، او هغه کوربه نوم بدل کړئ چې غواړئ یې وکاروئ۔
ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.comډیزاین یوازې هغه وخت ومنئ چې په اجازه ورکړل شوي هویت لاندې غوښتل شوې لرې عملیه بریالۍ شي، ناجازه هویت رد شي، او کله چې مستقیمه یا ریلې لاره نه وي د چلند پوهه او مستند وي۔ بیا اړیکه او د کاري سټیشن نورمال پیل سیاق شامل کړئ، ځکه هغه ناسته چې په دفتر کې د LAN له لارې پیل شوې هېڅ هم نه ازموي چې لرې لاسرسی پرې تکیه دی۔