போர்ட் ஃபார்வேர்டிங் இல்லாமல் NAT பின்னால் உள்ள பணிநிலையத்தை அடைதல்
உள்வரும் போர்ட் இல்லாத பணிநிலையமும் ஹப், ரிலே அல்லது பயன்பாட்டு ப்ரோக்கர் வழியாக அடையக்கூடியது. ஒன்றைத் தேர்ந்தெடுப்பதற்கு முன் ஒவ்வொரு வடிவமைப்பும் என்ன உத்தரவாதம் அளிக்கிறது என்பதை ஒப்பிடுங்கள்.
கேரியர் NAT மற்றும் பூட்டப்பட்ட அலுவலக ரவுட்டருக்குப் பின்னால் உள்ள இரண்டு முனைகள் ஃபார்வேர்டு செய்ய எந்த உள்வரும் போர்ட்டையும் விடவில்லை, மற்றும் எதிர்வினை இருந்தபோதிலும் ஒன்றைக் கேட்பதுதான். சிறந்த கேள்வி எந்தப் பக்கம் வெளியே அழைக்க முடியும், எந்த அடையக்கூடிய சேவைக்கு டிராஃபிக்கை எடுத்துச் செல்ல அனுமதி உள்ளது என்பதுதான். நான்கு வடிவமைப்புகள் இந்தக் கேள்விக்கு வெவ்வேறு வழிகளில் பதிலளிக்கின்றன, பாதை தடுக்கப்படும்போது வெவ்வேறு வழிகளில் தோல்வியடைகின்றன. அவற்றுக்கிடையே தேர்ந்தெடுப்பது நெறிமுறை பெயர்களின் அல்ல, உத்தரவாதங்களின் ஒப்பீடு.
நான்கு வடிவமைப்புகள், நான்கு வெவ்வேறு வாக்குறுதிகள்
கீழே உள்ள அட்டவணை சுருக்கமான பதிப்பு. நடுப் பத்தியை நீங்கள் சோதிக்கக்கூடிய வாக்குறுதியாகவும், வலப் பத்தியை யாரும் அளிக்காத வாக்குறுதியாகவும் படியுங்கள்.
| Design | Who initiates | Promise you get | Promise you do not get |
|---|---|---|---|
| Routed VPN hub | Both ends, outbound to the hub | A routed path to permitted prefixes | Access to services no policy allows |
| Peer traversal with ICE | Both peers to a rendezvous service | A path tested between the two peers | A direct path through every NAT |
| TURN relay | Client outbound to a relay | Transport that survives symmetric NAT | Peer discovery or a usable directory |
| Application broker | Workstation outbound to a broker | One audited application session | Subnet-wide reachability |
எந்த வரிசை பொருந்தும் என்பது விருப்பத்தைப் பொறுத்ததல்ல, வேலையைப் பொறுத்தது. ஒரு தொலை பணிமேசை அமர்வு, ஒரு நிர்வாக ஷெல் மற்றும் முழு தனியார் துணை வலையமைப்பிற்கான அணுகல் — இவை ஒரே நுழைவுப் புள்ளியைத் தேவைப்படாத மூன்று தேவைகள், அவை தற்செயலாக ஒரே இயந்திரத்தைச் சார்ந்திருந்தாலும்.
யார் வெளியே அழைக்கிறார்கள் என்பதை ஹப் மாற்றுகிறது, எது அனுமதிக்கப்படுகிறது என்பதை அல்ல
வழியமைக்கப்பட்ட ஹப் வடிவமைப்பில் தொலை லேப்டாப் மற்றும் பணிநிலையம், அல்லது அதற்கு முன்னால் உள்ள தள நுழைவாயில், இரண்டும் அடையக்கூடிய சேவைக்கு வெளியே செல்லும் சுரங்கப்பாதையைத் திறக்கின்றன. பணிநிலையத்தின் ரவுட்டரில் எதுவும் கேட்கப்படாத இணைப்பை ஏற்கவில்லை, அதனால்தான் இந்த வடிவமைப்பு NAT-ஐத் தாண்டி நிலைத்திருக்கிறது, தளத்திற்கு நிலையான முகவரி இல்லாதபோதும் செயல்படுகிறது. பின்னர் ஹப் தனது சொந்தக் கொள்கையின்படி இரண்டு உட்புற முகவரிகளுக்கிடையே டிராஃபிக்கை வழியமைக்கிறது.
விலை என்னவென்றால் ஹப் இருக்க வேண்டும், இரு பக்கங்களிலிருந்தும் அடையக்கூடியதாக இருக்க வேண்டும், யாராவது அதை இயக்க வேண்டும். வெளிச்செல்லும் வடிகட்டுதல் போக்குவரத்தை அனுமதிக்க வேண்டும், அதைத் தடுக்கும் வலையமைப்பு போர்ட் ஃபார்வேர்டிங் தேவைப்படாதபோதும் வடிவமைப்பைத் தோற்கடிக்கும்.
நுட்பமான பகுதி என்னவென்றால் அடையக்கூடிய தன்மையும் அனுமதியும் வெவ்வேறு இடங்களில் எடுக்கப்படும் தனித்தனி முடிவுகள். ஒரு முன்னொட்டிற்குச் செல்லும் பாதை பணிநிலையத்தில் எந்தச் சேவையை அடையாளம் பயன்படுத்தலாம் என்று எதுவும் சொல்லவில்லை, சுரங்கப்பாதையை அனுமதிக்கும் ஃபயர்வால் விதி கணக்கு உள்நுழைய முடியுமா என்று எதுவும் சொல்லவில்லை. இரண்டையும் அமைக்கவும், இரண்டையும் சோதிக்கவும், அனுமதி முடிவை வழியமைப்பு அட்டவணையிடம் அல்ல, வளத்தை உடைய அமைப்பிடம் வைத்திருங்கள்.
இரு ஸ்டாக்குகளும் அதைச் செயல்படுத்தும்போது மட்டுமே டிராவர்சல் செயல்படும்
சமநிலை முனைகளுக்கிடையேயான டிராவர்சல் ஒரு குறிப்பிட்ட அமைப்பின் திறன், VPN-ஐ மேம்படுத்தும் அமைப்பு அல்ல. Interactive Connectivity Establishment பல வேட்பாளர் முகவரிகளைச் சேகரித்து ஒன்று செயல்படும் வரை ஜோடிகளைச் சோதிக்கிறது: உள்ளூர் இடைமுகங்களில் ஹோஸ்ட் வேட்பாளர்கள், NAT வெளிப்படுத்துவதிலிருந்து கட்டப்பட்ட சேவையகப் பிரதிபலிப்பு வேட்பாளர்கள், ரிலேயில் ஒதுக்கப்பட்ட ரிலே வேட்பாளர்கள். தனியார் முகவரி மட்டும் பாதை அல்ல, ஏனெனில் மறுபக்கம் அங்கு வழியமைக்க முடியாது.
ரிலே வழக்கை நிராகரிக்கும் முன் புரிந்துகொள்வது மதிப்புள்ளது. RFC 8656 TURN-ஐ, வாடிக்கையாளர் சேவையகத்திடம் ரிலே செய்யப்பட்ட போக்குவரத்து முகவரியைக் கேட்கும், சேவையகம் அந்த வாடிக்கையாளருக்கும் அவரது சமநிலைகளுக்கும் இடையே டிராஃபிக்கை அனுப்பும் நெறிமுறையாக விவரிக்கிறது. எனவே தரவை ரிலே எடுத்துச் செல்கிறது, இது முனைகள் சந்திக்க மட்டும் உதவும் அடைவிலிருந்து அடிப்படையில் வேறுபடுகிறது. ரிலே முகவரியை மறுபக்கத்துடன் பரிமாறுவது பயன்பாடு செய்ய வேண்டிய ஒருங்கிணைப்பு படியாகும்.
நீங்கள் வாக்குறுதி அளிக்க முடியாதது நேரடிப் பாதை. சமச்சீர் NAT மற்றும் சில நிறுவன ஃபயர்வால்கள் துளையிடுதலைத் தோற்கடிக்கின்றன, அவ்வாறு நடக்கும்போது அமைப்பு ரிலேவுக்குத் திரும்புகிறது அல்லது தோல்வியடைகிறது. மொழிபெயர்க்கப்பட்ட இரண்டு முனைகள் ஒருபோதும் பேச முடியாது என்றும் நீங்கள் முடிவெடுக்க முடியாது; ரிலே காப்புப்பிரதி கொண்ட ஆதரவு ஸ்டாக் இருப்பதே அவை பெரும்பாலும் பேச முடியும் என்பதால்தான். கிடைக்கும் தன்மை முக்கியமா நேரடித்தன்மை முக்கியமா என்று முடிவு செய்து, பின்னர் சாதகமான நிலையை ஊகிப்பதற்குப் பதிலாக பரவல் உண்மையில் எந்தப் பாதையைத் தேர்ந்தெடுத்தது என்று சரிபார்க்கவும்.
ப்ரோக்கர் வலையமைப்பை விட குறுகியது
தேவை ஒரு பயன்பாடாக இருக்கும்போது, பயன்பாட்டு ப்ரோக்கர் அல்லது பணிநிலையம் தொடங்கும் தலைகீழ் இணைப்பு சிறிய பதிலாக இருக்கலாம். பணிநிலையம் வெளியே ப்ரோக்கருக்கு அழைக்கிறது, ப்ரோக்கர் தொலைப் பயனரை அங்கீகரிக்கிறது, அந்தப் பயன்பாட்டு அமர்வு மட்டுமே எடுத்துச் செல்லப்படுகிறது. பணிநிலையத்தின் துணை வலையமைப்பிற்கு எந்தப் பாதையும் உருவாக்கப்படவில்லை, எனவே தொலை அமர்வின் சமரசம் அதன் அருகிலுள்ள ஒவ்வொரு சாதனத்திற்கும் பாதையைப் பெறாது.
இந்தக் குறுகிய தன்மைக்கு விலை உண்டு: ஒவ்வொரு கூடுதல் பயன்பாட்டிற்கும் அதன் சொந்த ஒருங்கிணைப்பு தேவை, மேலும் பயன்பாடு உள்ளூர் வலையமைப்பைப் பற்றி ஊகிப்பது, உதாரணமாக அருகிலுள்ள சேவையகத்தில் திறக்கும் கோப்புப் பங்கீடு, அடைய முடியாததாக இருக்கலாம். ப்ரோக்கர்கள் கொள்கையையும் பதிவையும் ஒரே இடத்தில் குவிக்கின்றன, அது அந்த இடம் தடையாகும் வரை பயனுள்ளது.
நம்பிக்கை எல்லைகளை ஒப்பிடுங்கள், பின்னர் பாதையைச் சோதியுங்கள்
சுரங்கப்பாதைகளை முடிக்கும் ஹப் தான் வழியமைக்கும் டிராஃபிக்கைப் படிக்க முடியும். பயன்பாடு முனையிலிருந்து முனை வரை மறையாக்கம் செய்யும்போது ரிலே தனித்தனியாகப் பாதுகாக்கப்பட்ட பரிமாற்றத்தை எடுத்துச் செல்ல முடியும், ப்ரோக்கர் பொதுவாகத் தான் வழங்கும் அமர்வை முடிக்கிறது. இரண்டும் மறையாக்கப்பட்டுள்ளன என்பதால் இரண்டு வடிவமைப்புகளும் சமம் என்று முடிவெடுக்கும் முன் பாதுகாப்பு உண்மையில் எங்கே முடிகிறது என்று தீர்மானிக்கவும்.
பின்னர் பணிநிலையம் வெளியே உண்மையில் எங்கு சென்றடைகிறது என்று சரிபார்க்கவும், மேலே உள்ள ஒவ்வொரு வடிவமைப்பும் அதைச் சார்ந்துள்ளது. இதைப் பணிநிலையத்தில் இயக்கி, நீங்கள் பயன்படுத்த விரும்பும் ஹோஸ்ட் பெயரை மாற்றவும்.
ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.comஅனுமதிக்கப்பட்ட அடையாளத்தின் கீழ் நோக்கமான தொலைச் செயல்பாடு வெற்றிபெற்ற பிறகு, அனுமதிக்கப்படாத அடையாளம் நிராகரிக்கப்பட்ட பிறகு, நேரடி அல்லது ரிலே பாதை கிடைக்காதபோது நடத்தை அறியப்பட்டு ஆவணப்படுத்தப்பட்ட பிறகு மட்டுமே வடிவமைப்பை ஏற்கவும். மீண்டும் இணைத்தலையும் பணிநிலையத்தின் சாதாரண தொடக்கச் சூழலையும் சேர்க்கவும், ஏனெனில் அலுவலகத்தில் LAN வழியாகத் தொடங்கிய அமர்வு தொலை அணுகல் சார்ந்திருக்கும் எதையும் சோதிக்காது.