Kufikia kituo cha kazi nyuma ya NAT bila kuelekeza bandari

Vituo viwili vilivyo nyuma ya NAT ya mtoa huduma na kipanga njia cha ofisi kilichofungwa haviache bandari yoyote ya kuingia ya kuelekeza, na mwitikio ni kuomba moja hata hivyo. Swali bora ni upande upi unaweza kupiga simu nje na huduma ipi inayoweza kufikiwa inaruhusiwa kubeba trafiki. Miundo minne inajibu swali hilo kwa namna tofauti, na inashindwa kwa namna tofauti njia inapozuiwa. Kuchagua kati yao ni ulinganisho wa dhamana, si wa majina ya itifaki.

Miundo minne, ahadi nne tofauti

Jedwali lililo hapa chini ni toleo fupi. Soma safu ya kati kama ahadi unayoweza kujaribu, na safu ya kulia kama ahadi ambayo hakuna aliyetoa.

Safu ipi inatumika inategemea kazi na si upendeleo. Kipindi kimoja cha eneo-kazi la mbali, ganda moja la kiutawala na ufikiaji wa subnet nzima ya kibinafsi ni mahitaji matatu ambayo hayahitaji sehemu moja ya kuingia, hata yanapohusisha kwa bahati mashine moja.

Kitovu hubadilisha nani anapiga simu nje, si kile kinachoruhusiwa

Katika muundo wa kitovu kilichoelekezwa, kompyuta ya mkononi ya mbali na kituo cha kazi, au lango la eneo lililo mbele yake, kila moja hufungua handaki la kutoka kwa huduma ambayo wote wawili wanaweza kuifikia. Hakuna kinachokubali muunganisho usioombwa kwenye kipanga njia cha kituo cha kazi, na hiyo ndiyo sababu muundo huu unastahimili NAT na bado unafanya kazi wakati eneo halina anwani tuli. Kisha kitovu huelekeza trafiki kati ya anwani mbili za ndani kulingana na sera yake.

Gharama ni kwamba kitovu lazima kiwepo, kiweze kufikiwa kutoka pande zote mbili na mtu lazima akiendeshe. Uchujaji wa kutoka lazima uruhusu usafirishaji, na mtandao unaozuia utashinda muundo hata kama hakuna haja ya kuelekeza bandari.

Sehemu nyeti ni kwamba ufikivu na uidhinishaji ni maamuzi tofauti yanayofanywa sehemu tofauti. Njia kwenye kiambishi awali haisemi chochote kuhusu huduma ipi kwenye kituo cha kazi utambulisho unaweza kutumia, na kanuni ya ngome inayoruhusu handaki haisemi chochote kuhusu kama akaunti inaweza kuingia. Sanidi zote mbili, jaribu zote mbili, na uweke uamuzi wa uidhinishaji kwa mfumo unaomiliki rasilimali na si kwa jedwali la uelekezaji.

Upitishaji hufanya kazi tu wakati staki zote mbili zinautekeleza

Upitishaji kati ya wenzao ni uwezo wa mfumo maalum, si mpangilio unaoboresha VPN. Interactive Connectivity Establishment hukusanya anwani kadhaa za wagombea na hujaribu jozi hadi moja ifanye kazi: wagombea wa mwenyeji kwenye violesura vya ndani, wagombea wa kiakisi cha seva waliojengwa kutoka kile NAT inachofichua, na wagombea wa relay waliotengwa kwenye relay. Anwani ya kibinafsi peke yake si njia, kwa sababu upande mwingine hauwezi kuelekeza huko.

Kesi ya relay inafaa kueleweka kabla ya kuikataa. RFC 8656 inaeleza TURN kama itifaki ambayo mteja huomba seva anwani ya usafirishaji iliyorelewa na seva huelekeza trafiki kati ya mteja huyo na wenzake. Kwa hiyo relay hubeba data, jambo ambalo ni tofauti kimsingi na saraka inayosaidia tu vituo kukutana. Kubadilishana anwani ya relay na upande mwingine ni hatua ya uratibu ambayo programu lazima ifanye.

Usichoweza kuahidi ni njia ya moja kwa moja. NAT linganifu na baadhi ya ngome za biashara hushinda utobolewaji wa mashimo, na inapotokea hivyo mfumo ama unarudi kwenye relay au unashindwa. Pia huwezi kuhitimisha kuwa vituo viwili vilivyotafsiriwa haviwezi kuzungumza kamwe; staki inayotumika yenye hifadhi ya relay ipo kwa sababu mara nyingi zinaweza. Amua kama upatikanaji au umoja wa moja kwa moja ni muhimu zaidi, kisha thibitisha njia ipi uenezaji ulichagua kwa kweli badala ya kudhani kesi nzuri.

Wakala ni mwembamba kuliko mtandao

Wakati hitaji ni programu moja, wakala wa programu au muunganisho wa kinyume unaoanzishwa na kituo cha kazi unaweza kuwa jibu dogo zaidi. Kituo cha kazi hupiga simu nje kwa wakala, wakala huthibitisha mtumiaji wa mbali, na kipindi hicho cha programu peke yake hubebwa. Hakuna njia ya kuelekea subnet ya kituo cha kazi inayoundwa, kwa hiyo uvunjaji wa kipindi cha mbali haurithi njia ya kufikia kila kifaa kilicho kando yake.

Ubembamba huo una gharama: kila programu ya ziada inahitaji muunganisho wake, na chochote ambacho programu inadhani kuhusu mtandao wa ndani, kama kushiriki faili inayofungua kwenye seva iliyo karibu, kinaweza kisiweze kufikiwa. Mawakala pia hukusanya sera na ukaguzi sehemu moja, jambo ambalo ni muhimu hadi sehemu hiyo inakuwa kizuizi.

Linganisha mipaka ya uaminifu, kisha jaribu njia

Kitovu kinachomaliza handaki kinaweza kusoma trafiki inayoielekeza. Relay inaweza kubeba mabadilishano yaliyolindwa kwa kujitegemea wakati programu inasimba kutoka mwisho hadi mwisho, na wakala kwa kawaida humaliza kipindi anachowasilisha. Bainisha wapi ulinzi unaishia kwa kweli kabla ya kuamua kuwa miundo miwili ni sawa kwa sababu yote imesimbwa.

Kisha angalia kile kituo cha kazi kinachofikia nje kwa kweli, kwa sababu kila muundo hapo juu unategemea hilo. Endesha hili kwenye kituo cha kazi, ukibadilisha jina la mwenyeji unalokusudia kutumia.

ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.com

Kubali muundo tu baada ya operesheni ya mbali iliyokusudiwa kufanikiwa chini ya utambulisho unaoruhusiwa, utambulisho usioidhinishwa kukataliwa, na tabia wakati njia ya moja kwa moja au ya relay haipatikani kujulikana na kuandikwa. Jumuisha kuunganisha tena na muktadha wa kawaida wa kuanza wa kituo cha kazi, kwa sababu kipindi kilichoanza ofisini kupitia LAN hakijaribu chochote ambacho ufikiaji wa mbali unategemea.