Maabot ang isang workstation sa likod ng NAT nang walang port forwarding
Ang workstation na walang papasok na port ay naaabot pa rin sa pamamagitan ng hub, relay o broker ng aplikasyon. Ihambing ang ginagarantiya ng bawat disenyo bago pumili ng isa.
Dalawang dulo sa likod ng NAT ng carrier at isang naka-lock na router ng opisina ang hindi nag-iiwan ng papasok na port na maipapasa, at ang reaksyon ay humingi pa rin ng isa. Ang mas mabuting tanong ay aling panig ang makakatawag palabas at aling maabot na serbisyo ang pinapayagang magdala ng trapiko. Apat na disenyo ang sumasagot sa tanong na iyon nang iba, at nabibigo sila nang iba kapag hinarang ang isang landas. Ang pagpili sa kanila ay paghahambing ng mga garantiya, hindi ng mga pangalan ng protocol.
Apat na disenyo, apat na magkaibang pangako
Ang talahanayan sa ibaba ay ang maikling bersyon. Basahin ang gitnang hanay bilang pangakong masusubok mo, at ang kanang hanay bilang pangakong walang nagbigay.
| Design | Who initiates | Promise you get | Promise you do not get |
|---|---|---|---|
| Routed VPN hub | Both ends, outbound to the hub | A routed path to permitted prefixes | Access to services no policy allows |
| Peer traversal with ICE | Both peers to a rendezvous service | A path tested between the two peers | A direct path through every NAT |
| TURN relay | Client outbound to a relay | Transport that survives symmetric NAT | Peer discovery or a usable directory |
| Application broker | Workstation outbound to a broker | One audited application session | Subnet-wide reachability |
Aling hilera ang naaangkop ay depende sa gawain at hindi sa kagustuhan. Isang sesyon ng remote desktop, isang administrative shell at access sa isang buong pribadong subnet ay tatlong pangangailangan na hindi kailangan ng parehong pasukan, kahit nagkataong pareho silang tumutukoy sa iisang makina.
Binabago ng hub kung sino ang tumatawag palabas, hindi kung ano ang pinapayagan
Sa disenyong hub na may ruta, ang malayong laptop at ang workstation, o ang gateway ng site sa harap nito, ay bubuksan ang bawat isa ng palabas na tunnel patungo sa serbisyong maaabot ng dalawa. Walang tumatanggap ng koneksyong hindi hiniling sa router ng workstation, at iyon mismo ang dahilan kung bakit nakakalampas ang disenyong ito sa NAT at gumagana pa rin kapag walang static na address ang site. Pagkatapos ay iruruta ng hub ang trapiko sa pagitan ng dalawang panloob na address ayon sa sarili nitong patakaran.
Ang halaga ay kailangang may hub, kailangang maabot ito mula sa dalawang panig at may kailangang magpatakbo nito. Kailangang payagan ng papasok na pag-filter ang transport, at ang network na humaharang dito ay dudurog sa disenyo kahit hindi kailangan ng port forwarding.
Ang banayad na bahagi ay ang maabot at ang pahintulot ay magkaibang desisyong ginagawa sa magkaibang lugar. Ang ruta patungo sa isang prefix ay walang sinasabi kung aling serbisyo sa workstation ang maaaring gamitin ng pagkakakilanlan, at ang tuntunin ng firewall na pumapayag sa tunnel ay walang sinasabi kung makakapasok ang account. Isaayos ang dalawa, subukan ang dalawa, at panatilihin ang desisyon sa pahintulot sa sistemang nagmamay-ari ng mapagkukunan at hindi sa talahanayan ng ruta.
Gumagana lamang ang traversal kapag ipinatupad ito ng dalawang stack
Ang traversal sa pagitan ng magkapantay ay kakayahan ng isang partikular na sistema, hindi isang setting na nagpapabuti sa VPN. Ang Interactive Connectivity Establishment ay nagtitipon ng ilang kandidatong address at sumusubok ng mga pares hanggang may gumana: mga kandidatong host sa lokal na interface, mga kandidatong server-reflexive na itinayo mula sa ibinubunyag ng NAT, at mga kandidatong relay na inilalaan sa isang relay. Ang pribadong address lamang ay hindi landas, dahil hindi makakapag-ruta ang kabilang panig patungo roon.
Karapat-dapat unawain ang kaso ng relay bago ito itakwil. RFC 8656 inilalarawan ang TURN bilang protocol kung saan humihingi ang kliyente sa server ng relayed na address ng transport at ipinapasa ng server ang trapiko sa pagitan ng kliyenteng iyon at ng mga kapantay nito. Kaya ang relay ang nagdadala ng data, na malaki ang pagkakaiba sa isang direktoryo na tumutulong lamang sa mga dulo na magkita. Ang pagpapalitan ng relay address sa kabilang panig ay hakbang ng koordinasyon na kailangang gawin ng aplikasyon.
Ang hindi mo maipapangako ay isang direktang landas. Ang simetriko na NAT at ilang enterprise firewall ay nadaig ang butas-butas, at kapag nangyari iyon ay bumabalik sa relay ang sistema o nabibigo ito. Hindi mo rin mahihinuha na ang dalawang isinaling dulo ay hindi kailanman makakapag-usap; may suportadong stack na may relay fallback dahil madalas silang makapag-usap. Magpasya kung alin ang mas mahalaga, ang kakayahang maabot o ang pagiging direkta, pagkatapos ay i-verify kung aling landas ang aktwal na pinili ng deployment sa halip na ipagpalagay ang magandang kaso.
Ang broker ay mas makitid kaysa sa network
Kapag ang pangangailangan ay isang aplikasyon, ang broker ng aplikasyon o ang reverse connection na sinimulan ng workstation ang maaaring pinakamaliit na sagot. Tumatawag palabas ang workstation sa isang broker, pinapatunayan ng broker ang malayong gumagamit, at tanging ang sesyon ng aplikasyong iyon ang dinadala. Walang rutang nilikha patungo sa subnet ng workstation, kaya ang pagkompromiso ng malayong sesyon ay hindi nagmamana ng landas patungo sa bawat aparatong katabi nito.
May presyo ang pagkakitid na iyon: bawat karagdagang aplikasyon ay kailangan ng sarili nitong integrasyon, at anumang ipinapalagay ng aplikasyon tungkol sa lokal na network, tulad ng file sharing na binubuksan nito sa kalapit na server, ay maaaring hindi maabot. Ang mga broker ay nagsasama rin ng patakaran at pag-log sa isang lugar, na kapaki-pakinabang hanggang ang lugar na iyon ang maging pagkawala.
Ihambing ang mga hangganan ng pagtitiwala, pagkatapos ay subukan ang landas
Ang hub na nagtatapos ng mga tunnel ay makababasa ng trapikong irinuruta nito. Ang relay ay makakapagdala ng independiyenteng protektadong palitan kapag ang aplikasyon ay nag-e-encrypt mula dulo hanggang dulo, at ang broker ay karaniwang nagtatapos ng sesyong inihaharap nito. Itatag kung saan talaga nagtatapos ang proteksyon bago magpasya na ang dalawang disenyo ay katumbas dahil pareho silang naka-encrypt.
Pagkatapos ay suriin kung ano talaga ang naaabot ng workstation palabas, dahil bawat disenyo sa itaas ay nakasalalay doon. Patakbuhin ito sa workstation, palitan ang hostname na balak mong gamitin.
ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.comTanggapin ang disenyo lamang pagkatapos na magtagumpay ang nilalayong malayong operasyon sa ilalim ng pinapayagang pagkakakilanlan, tanggihan ang isang hindi aprubadong pagkakakilanlan, at ang pag-uugali kapag hindi available ang direktang o relay na landas ay alam at dokumentado. Isama ang muling pagkonekta at ang normal na konteksto ng pagsisimula ng workstation, dahil ang sesyong nagsimula sa opisina sa LAN ay walang sinusubukang anuman na nakasalalay ang malayong pag-access.