NAT orqasidagi ish stansiyasiga portni yo'naltirmasdan kirish
Kiruvchi porti bo'lmagan ish stansiyasiga ham hub, rele yoki dastur brokeri orqali kirish mumkin. Birini tanlashdan oldin har bir loyiha nimani kafolatlashini solishtiring.
Operator NAT'i va qulflangan ofis routeri orqasidagi ikki so'nggi nuqta yo'naltirish uchun birorta kiruvchi port qoldirmaydi, refleks esa baribir bittasini so'rashdir. Yaxshiroq savol: qaysi tomon tashqariga qo'ng'iroq qila oladi va qaysi ochiq xizmatga trafikni tashishga ruxsat berilgan. To'rt loyiha bu savolga turlicha javob beradi va yo'l to'silganda turlicha muvaffaqiyatsizlikka uchraydi. Ular orasidagi tanlov protokol nomlarining emas, kafolatlarning taqqoslanishi.
To'rt loyiha, to'rt xil va'da
Quyidagi jadval qisqa variant. O'rta ustunni sinab ko'rishingiz mumkin bo'lgan va'da sifatida, o'ng ustunni hech kim bermagan va'da sifatida o'qing.
| Design | Who initiates | Promise you get | Promise you do not get |
|---|---|---|---|
| Routed VPN hub | Both ends, outbound to the hub | A routed path to permitted prefixes | Access to services no policy allows |
| Peer traversal with ICE | Both peers to a rendezvous service | A path tested between the two peers | A direct path through every NAT |
| TURN relay | Client outbound to a relay | Transport that survives symmetric NAT | Peer discovery or a usable directory |
| Application broker | Workstation outbound to a broker | One audited application session | Subnet-wide reachability |
Qaysi qator amal qilishi tanlovga emas, vazifaga bog'liq. Bitta masofaviy ish stoli seansi, bitta ma'muriy qobiq va butun xususiy quyi tarmoqqa kirish — bu bir xil kirish nuqtasini talab qilmaydigan uchta talab, garchi ular tasodifan bir mashinaga tegishli bo'lsa ham.
Hub kim tashqariga qo'ng'iroq qilishini o'zgartiradi, nima ruxsat etilganini emas
Marshrutlangan hub loyihasida masofaviy noutbuk va ish stansiyasi, yoki uning oldidagi sayt shlyuzi, ikkalasi ham yeta oladigan xizmatga chiquvchi tunnel ochadi. Ish stansiyasining routerida hech narsa so'ralmagan ulanishni qabul qilmaydi va shu sababli bu loyiha NAT orqasida omon qoladi va saytda statik manzil bo'lmasa ham ishlaydi. So'ngra hub o'z siyosatiga ko'ra ikki ichki manzil o'rtasida trafikni marshrutlaydi.
Narx shuki, hub mavjud bo'lishi, ikki tomondan yetib borilishi va kimdir uni boshqarishi kerak. Chiquvchi filtrlash transportga ruxsat berishi kerak va uni bloklaydigan tarmoq portni yo'naltirish kerak bo'lmagan bo'lsa ham loyihani yiqitadi.
Nozik joy shundaki, ochiqlik va avtorizatsiya turli joylarda qabul qilinadigan alohida qarorlardir. Prefiksga boradigan marshrut ish stansiyasidagi qaysi xizmatdan shaxs foydalanishi mumkinligini aytmaydi, tunnelga ruxsat beruvchi xavfsizlik devori qoidasi esa hisob tizimga kira olishini aytmaydi. Ikkalasini ham sozlang, ikkalasini ham sinang va avtorizatsiya qarorini marshrutlash jadvalida emas, resursga ega tizimda qoldiring.
O'tish faqat ikkala stek ham uni amalga oshirganda ishlaydi
Teng huquqli tugunlar orasidagi o'tish muayyan tizimning qobiliyati, VPNni yaxshilaydigan sozlama emas. Interactive Connectivity Establishment bir necha nomzod manzilni to'playdi va bittasi ishlaguncha juftlarni sinaydi: mahalliy interfeyslardagi xost nomzodlari, NAT oshkor qilgan narsadan qurilgan server-aksiy manzillar va releyga ajratilgan reley nomzodlari. Faqat xususiy manzil yo'l emas, chunki qarshi tomon u yerga marshrutlay olmaydi.
Reley holatini rad etishdan oldin tushunish arziydi. RFC 8656 TURNni mijoz serverdan reley orqali o'tkazilgan transport manzilini so'raydigan va server o'sha mijoz bilan uning tengdoshlari o'rtasida trafikni uzatadigan protokol sifatida tasvirlaydi. Demak, ma'lumotni reley tashiydi, bu esa faqat so'nggi nuqtalarga uchrashishda yordam beradigan katalogdan tubdan farq qiladi. Reley manzilini qarshi tomon bilan almashtirish dastur bajarishi kerak bo'lgan muvofiqlashtirish qadamidir.
Va'da bera olmaydigan narsangiz to'g'ridan-to'g'ri yo'ldir. Simmetrik NAT va ba'zi korporativ xavfsizlik devorlari teshik ochishni yengadi va bu sodir bo'lganda tizim yo releyga qaytadi, yo muvaffaqiyatsizlikka uchraydi. Shuningdek, tarjima qilingan ikki so'nggi nuqta hech qachon gaplasha olmaydi degan xulosaga ham kelolmaysiz; reley zaxirasi bo'lgan qo'llab-quvvatlanadigan stek aynan ular ko'pincha gaplasha olgani uchun mavjud. Mavjudlikmi yoki to'g'ridan-to'g'rilikmi muhimroq ekanini hal qiling, so'ngra qulay holatni taxmin qilish o'rniga joylashtirish aslida qaysi yo'lni tanlaganini tekshiring.
Broker tarmoqdan torroq
Talab bitta dastur bo'lganda, dastur brokeri yoki ish stansiyasi boshlagan teskari ulanish eng kichik javob bo'lishi mumkin. Ish stansiyasi tashqariga brokerga qo'ng'iroq qiladi, broker masofaviy foydalanuvchini autentifikatsiya qiladi va faqat o'sha dastur seansi tashiladi. Ish stansiyasining quyi tarmog'iga hech qanday marshrut yaratilmaydi, shu sababli masofaviy seansning buzilishi yonidagi har bir qurilmaga yo'lni meros qilib olmaydi.
Bu torlikning narxi bor: har bir qo'shimcha dastur o'z integratsiyasini talab qiladi va dastur mahalliy tarmoq haqida taxmin qilgan har qanday narsa, masalan yaqin serverda ochadigan fayl almashish, yetib borilmasligi mumkin. Brokerlar siyosat va jurnalni bir joyda to'playdi, bu esa o'sha joy uzilishga aylanmaguncha foydali.
Ishonch chegaralarini solishtiring, so'ngra yo'lni sinang
Tunnellarni tugatadigan hub o'zi marshrutlayotgan trafikni o'qiy oladi. Dastur oxiridan oxirigacha shifrlaganda reley mustaqil himoyalangan almashinuvni tashiy oladi, broker esa odatda taqdim etgan seansni tugatadi. Ikkalasi ham shifrlangan deb ikki loyiha teng deb qaror qilishdan oldin himoya aslida qayerda tugashini aniqlang.
So'ngra ish stansiyasi tashqariga aslida qayerga yetishini tekshiring, chunki yuqoridagi har bir loyiha shunga bog'liq. Buni ish stansiyasida bajaring, ishlatmoqchi bo'lgan xost nomini almashtiring.
ss -lntup
nc -vz hub.example.com 443
curl -sS -o /dev/null -w "%{http_code}\n" https://hub.example.comLoyihani faqat ruxsat etilgan shaxs ostida mo'ljallangan masofaviy operatsiya muvaffaqiyatli bo'lgach, ruxsat etilmagan shaxs rad etilgach va to'g'ridan-to'g'ri yoki reley yo'li mavjud bo'lmaganda xatti-harakat ma'lum va hujjatlashtirilgach qabul qiling. Qayta ulanish va ish stansiyasining odatiy ishga tushish kontekstini qo'shing, chunki ofisda LAN orqali boshlangan seans masofaviy kirish bog'liq bo'lgan hech narsani sinamaydi.