Itse-isäntä käännöstä (kulkusta käyttämällä releitä NAT: n ympärillä) -palvelinta voidaan todellakin käyttää palomuurin ja NAT: n läpikulkuongelmien ratkaisemiseen, jotka tyypillisesti ilmenevät, kun palomuurit tai NAT: t rajoittavat suoria vertaisverkkoyhteyksiä verkostoskenaarioissa, etenkin reaaliaikaisissa viestintäsovelluksissa, kuten WeBRTC.
Mikä on käännöspalvelin ja miksi käyttää sitä?
Käännöspalvelin toimii releenä kahden vertaiskäyttäjän välillä, jotka yrittävät kommunikoida verkon kautta, kun suora vertaisverkkoviestintä epäonnistuu rajoittavan palomuuri- tai NAT-käytäntöjen vuoksi. Toisin kuin tainnutus (NAT: n istunnon läpikulkut), jotka ensisijaisesti auttaa määrittämään julkisen IP -osoitteen ja porttikartta, mutta ei välittää liikennettä, käännä palvelimet sallivat median ja dataliikenteen lähettämisen releen kautta, varmistamalla, että viestintä voi edetä jopa erittäin rajoittavissa verkkoympäristöissä.
Kuinka palomuurit ja nats vaikuttavat yhteyksiin
Palomuurit ja verkkoosoitteiden kääntäjät (NATS) voivat estää suorat saapuvat yhteydet turvallisuussyistä. NAT muuttaa IP -osoitetietoja pakettien otsikoissa ja luo yleensä haasteita saapuvalle liikenteelle, kun taas palomuurit estävät valikoivasti portit ja liikennetyypit. Nämä rajoitukset estävät usein suorat vertaisverkkoyhteydet, jotka ovat välttämättömiä monille reaaliaikaisille viestintäsovelluksille. Käännöspalvelin lieventää tätä toimimalla välittäjäreleenä.
Itsetuotetun käännöspalvelimen käyttäminen palomuurin ohitukseen
Itsetyönnetty käännöspalvelin tarjoaa hallinta- ja yksityisyyden suojaa ohittaessaan palomuurin rajoituksia verrattuna julkisten tai kolmansien osapuolien käännöspalvelujen käyttöön. Se antaa organisaatioille tai yksilöille mahdollisuuden ylläpitää releinfrastruktuurin omistamistaan varmistaen, ettei kolmatta osapuolia käsittele liikennettä.
Asentamalla käännöspalvelimen, asiakas- ja palvelinroolit pystyvät kommunikoimaan käännösreleen kautta, jos suora viestintä on estetty. Tämä lähestymistapa toimii ilman, että käyttäjän on muokattava palomuurisääntöjä, avaamaan portteja tai poistamaan turvatoimenpiteet käytöstä.
Tekniset asennusnäkökohdat käännöspalvelimelle
Itsehoito-kääntöpalvelimeen sisältyy yleensä ohjelmistojen, kuten Coturn, joka on yksi suosituimmista avoimen lähdekoodin käännös- ja tainnutuspalvelimen toteutuksista. Palvelin kuuntelee tyypillisesti sekä UDP- että TCP -portteja. TCP ja käännä TLS (yleensä portissa 443) varmistavat, että liikenne näyttää normaalilta HTTPS -liikenteeltä, mikä parantaa yhteensopivuutta rajoittavien palomuurien kanssa.
Tärkeimmät kokoonpanotiedot sisältävät:
- Portit: Yritys- tai tiukat palomuurit estävät yleensä UDP 3478: n, kuten UDP 3478: n, oletusportit, joten suositellaan käännöstä kuuntelemaan yleisiä portteja, kuten TCP 443 (HTTPS -portti).
- TLS: Käännä TLS -salakuljetustiedot ja naamiointiliikenne HTTPS: ksi, mikä auttaa ohittamaan useimmat palomuurin sisältötarkastukset.
- Todennus: Käännöspalvelimet vaativat todennuksen väärinkäytön estämiseksi. Käytetään pitkäaikaisia valtakirjamekanismeja tai lyhytaikaisia valtakirjoja.
- IP -osoitteen määritys: Palvelin on määritettävä oikein sen julkisella IP -osoitteella, jos NAT: n takana.
Suojausnäkökohdat
Oikeat tietoturvatoimenpiteet on toteutettava itse isännöimällä käännöspalvelimella, koska se paljastaa välityspalvelut Internetiin:
- Käytä turvallisia todennusmenetelmiä, kuten pitkäaikainen todennus jaettujen salaisuuksien tai dynaamisten valtakirjojen kanssa vanhentuessa.
-Suorita määrän rajoittaminen ja seuranta väärinkäytön tai palvelun kieltäytymisen estämiseksi.
- Käytä TLS -salausta tietojen eheyden ja luottamuksellisuuden suojaamiseen.
- Pidä palvelin ja ohjelmisto päivitetty säännöllisesti tietoturvakorjauksiin.
Käyttöönottohaasteet ja palomuurin ohitus
- Jotkut palomuurit estävät UDP-liikennettä tai epästandardia portteja, jotka voivat poistaa kääntöpalvelimen relekonfunktion käytöstä, kun käytetään vain UDP: tä. TCP: n ja TLS: n käyttäminen portin 443 yli auttaa ohittamaan nämä rajat, koska suurin osa palomuurista sallii lähtevän HTTPS -liikenteen.
- Ääni-/video-/dataliikenteen uudelleenkäyttö käännöspalvelimen kautta tuo lisäviivettä ja kaistanleveyskustannuksia, jotka johtuvat releestä, mutta yhteydenpidon ylläpitäminen rajoittavissa ympäristöissä on usein tarpeen.
- Joissakin verkkoympäristöissä, joissa on erittäin rajoittavia palomuurikäytäntöjä, jopa käännöspalvelin ei ehkä takaa täysin ohitusta ilman ylimääräisiä verkkokokoonpanoja tai VPN -käyttöä.
- Vaihtoehtoiset menetelmät palomuurien ohittamiseksi sisältävät VPN: n käyttämisen tai sovelluspalvelimen käyttöönottoa pilviympäristössä, jossa portit voidaan avata vapaammin.
Kuinka käännös palvelin toimii käytännössä
WEBRTC -skenaariossa asiakkaat yrittävät ensin luoda suoran yhteyden ICE: n (interaktiivisen yhteyden perustamisen) avulla hyödyntämällä tainnutuspalvelimia julkisen osoitteen löytämiseksi. Jos tämä epäonnistuu NAT- tai palomuurien rajoitusten takia, käännöspalvelin välittää liikenteen. Selain tai asiakas lähettää mediansa/tietonsa Turn -palvelimelle, joka välittää sen toiselle vertaisarjalle, varmistaen yhteyden verkon rajoituksista huolimatta.
Configuration -esimerkki Coturn -sovelluksen avulla
Tyypillinen coturn -asennus sisältää:
- Kuunteleminen porteissa 3478 (UDP/TCP) tainnutus/käännös.
- Vaihtoehtoinen kuuntelu portissa 443 TLS: llä, joka on määritetty jäljittelemään HTTPS: ää.
- Jaettujen salaisuuksien käyttäminen todennukseen.
- IP -alueen määritteleminen releiden allokoinnille.
- Oikeat palomuurisäännöt, jotka sallivat tulevan TCP/UDP: n näissä porteissa.
- Kirjautuminen ja seuranta käyttivät yhteyksien ja käytön seuraamista.
Vaihtoehdot ja lisätoimenpiteet
-Käännä pilvessä tai pilvipalvelujen käyttäminen tai käyttämällä pilvipalveluita vähentämään itse isännöiviä yleiskustannuksia.
- VPN: ien käyttäminen palomuurien rajoitusten ohittamiseen kokonaan, joskus parempana yksityisyyden suojaa koskevista syistä.
- Verkkotason säädöt, kuten DMZ: n asettaminen tai porttien edelleenlähetys, paljastaa asiakaskoneen kokonaan (vähemmän suojattu).
- Erittäin rajoittavissa ympäristöissä, jotka yhdistävät käännöksen palvelimen käytön VPN- tai välityspalveluihin, voi olla tarpeen.
Yhteenveto
Itsetuotettu käännöspalvelin on tehokas työkalu ohittaa palomuuri ja NAT-rajoitukset reaaliaikaisessa viestinnässä välittämällä liikennettä, kun suorat yhteydet estetään. Se vaatii huolellisia kokoonpanoja ja turvallisuuskäytäntöjä, mukaan lukien TCP/TLS: n tuki sekoittamaan liikenne sallittujen https -liikenteen. Vaikka se lisää latenssi- ja kaistanleveyden yleiskustannuksia, se on usein toteuttamiskelpoisin ratkaisu yhteyksien varmistamiseen rajoittavissa verkkoympäristöissä vaarantamatta suojausta paljastamalla asiakaskoneita riskialttiiden verkkokokoonpanojen kautta. Vaihtoehdot, kuten VPN: t tai pilvipalvelun hosting, voivat täydentää tai korvata käännöspalvelimet käyttötapauksen ja infrastruktuurirajoitteiden mukaan. Tämä lähestymistapa antaa käyttäjille mahdollisuuden hallita viestintäreleitä luottamatta kolmansien osapuolien palveluihin, mikä mahdollistaa palomuurien turvallisen ja luotettavan läpikulun.
Tämä selitys kattaa teknisen perusteen, kokoonpanon, tietoturvan ja operatiivisen näkökohdan itse isännöidyn Turn-palvelimen käytöstä verkkoviestinnän palomuurikysymysten ohittamiseen.