Пробивка отверстий TCP - TCP hole punching

Обход TCP NAT и Пробивка отверстий TCP (иногда Сквозной NAT) происходит, когда два хоста позади преобразование сетевых адресов (NAT) пытаются подключиться друг к другу с помощью исходящих TCP-соединений. Такой сценарий особенно важен в случае пиринговый коммуникации, такие как Передача голоса по IP (VoIP), обмен файлами, телеконференции, системы чата и аналогичные приложения.

Пробивка отверстий TCP - экспериментально используемый Обход NAT метод установления TCP-соединения между двумя одноранговыми узлами за устройством NAT в Интернет компьютерная сеть. Обход NAT это общий термин для техник, которые устанавливают и поддерживают TCP / IP сеть и / или TCP соединения, проходящие через шлюзы NAT.

Терминология

Далее термины хост, клиент и одноранговый узел используются почти как взаимозаменяемые.

локальная конечная точка, внутренняя конечная точка: локальный IP: порт, видимый локально хостом и внутренней частью NAT.
общедоступная конечная точка, внешняя конечная точка: внешний IP-адрес: порт, отображаемый NAT, с точки зрения сети и внешней части NAT.
удаленная конечная точка: IP: порт другого однорангового узла, видимый в сети, или внешние части обоих NAT.

Описание

Обход NAT посредством пробивки отверстий TCP устанавливает двунаправленные TCP-соединения между Интернет хосты в частных сетях с использованием NAT. Он не работает со всеми типами NAT, поскольку их поведение не стандартизировано. Когда два хоста подключаются друг к другу по TCP, оба через исходящие соединения, они находятся в случае «одновременного открытия TCP» на диаграмме конечного автомата TCP.^[1]

Сетевой рисунок

Узел A ← → Шлюз A (NAT-a) ← .. Сеть .. → Шлюз B (NAT-b) ← → Узел B

Типы NAT

Доступность пробивки отверстий TCP зависит от типа компьютера. распределение портов используется NAT. для двух одноранговых узлов за NAT для подключения друг к другу через TCP одновременное открытие^{[уточнить ]}, им нужно немного узнать друг о друге. Одна вещь, которую им абсолютно необходимо знать, - это «местоположение» другого однорангового узла или удаленной конечной точки. Удаленная конечная точка - это данные IP-адреса и порта, к которому будет подключаться одноранговый узел. Поэтому, когда два одноранговых узла, A и B, инициируют TCP-соединения, привязываясь к локальным портам Pa и Pb, соответственно, им необходимо знать порт удаленной конечной точки, отображаемый NAT, чтобы установить соединение. Когда оба узла находятся за NAT, как обнаружить общедоступную удаленную конечную точку другого однорангового узла - это проблема, называемая Прогнозирование порта NAT. Все методы обхода TCP NAT и пробивки отверстий должны решать проблему прогнозирования портов.

Назначение порта NAT может быть одним из двух:

предсказуемый: шлюз использует простой алгоритм для сопоставления локального порта с портом NAT. В большинстве случаев NAT будет использовать сохранение порта, что означает, что локальный порт сопоставлен с тем же портом в NAT.
непредсказуемый: шлюзы используют алгоритм, который либо случайен, либо слишком непрактичен для предсказания.

В зависимости от того, демонстрируют ли NAT предсказуемое или непредсказуемое поведение, будет возможно или нет выполнить TCP-соединение через одновременное открытие TCP, как показано ниже в матрице соединений, представляющей различные случаи и их влияние на сквозное соединение. закончить общение:

	Предсказуемый	Непредсказуемый
B предсказуемо	ДА	ДА
B непредсказуемо	ДА	НЕТ

ДА: соединение будет работать постоянно
НЕТ: соединение почти никогда не будет работать

Методы

Методы прогнозирования портов (с предсказуемыми NAT)

Вот некоторые из методов, используемых NAT, чтобы одноранговые узлы могли выполнять прогнозирование портов:

NAT назначает последовательные внутренние порты последовательные внешние порты.

Если удаленный узел имеет информацию об одном сопоставлении, он может угадать значение последующих сопоставлений. TCP-соединение будет происходить в два этапа: сначала узлы устанавливают соединение с третьей стороной и изучают свое сопоставление. На втором этапе оба одноранговых узла могут угадать, каким будет сопоставление портов NAT для всех последующих соединений, что решает проблему прогнозирования порта. Этот метод требует создания как минимум двух последовательных подключений для каждого однорангового узла и требует использования третьей стороны. Этот метод не работает должным образом в случае NAT операторского класса с большим количеством подписчиков за каждым IP-адресом, поскольку доступно только ограниченное количество портов, и выделение последовательных портов одному и тому же внутреннему хосту может быть непрактичным или невозможным.

NAT использует схему распределения с сохранением портов: NAT сопоставляет исходный порт внутреннего однорангового узла с тем же общедоступным портом.

В этом случае прогнозирование порта является тривиальным, и одноранговые узлы просто должны обменяться портом, к которому они привязаны, через другой канал связи (например, UDP или DHT) перед одновременным открытием исходящих соединений TCP. Для этого метода требуется только одно соединение на одноранговое устройство и не требуется третья сторона для прогнозирования порта.

NAT использует «независимое отображение конечной точки»: два последовательных TCP-соединения, исходящие от одной и той же внутренней конечной точки, отображаются на одну и ту же общедоступную конечную точку.

С помощью этого решения одноранговые узлы сначала подключатся к стороннему серверу, который сохранит свое значение сопоставления портов и предоставит обоим одноранговым узлам значение сопоставления портов другого однорангового узла. На втором этапе оба одноранговых узла будут повторно использовать одну и ту же локальную конечную точку для одновременного открытия TCP друг с другом. К сожалению, это требует использования SO_REUSEADDR в сокетах TCP, и такое использование нарушает стандарт TCP и может привести к повреждению данных. Его следует использовать только в том случае, если приложение может защитить себя от такого повреждения данных.

Подробная информация о типичном создании экземпляра TCP-соединения с TCP Hole Punching

Здесь мы предполагаем, что прогнозирование порта уже произошло с помощью одного из методов, описанных выше, и что каждый одноранговый узел знает конечную точку удаленного однорангового узла. Оба одноранговых узла создают POSIX соединять вызов другой равноправной конечной точки. Одновременное открытие TCP будет происходить следующим образом:

- Узел A отправляет SYN узлу B
- Узел B отправляет SYN узлу A
- Когда NAT-a получает исходящий SYN от узла A, он создает отображение в своем конечном автомате.
- Когда NAT-b получает исходящий SYN от узла B, он создает отображение в своем конечном автомате.
Оба SYN пересекаются где-то на сетевом пути, тогда:
- SYN от Peer A достигает NAT-b, SYN от Peer B достигает NAT-a
- В зависимости от времени этих событий (где в сети крест SYN),
- по крайней мере, один из NAT пропустит входящий SYN и сопоставит его с внутренним партнером назначения
После получения SYN одноранговый узел отправляет обратно SYN + ACK, и соединение устанавливается.

Требования к взаимодействию на NAT для пробивки отверстий TCP

Другие требования к NAT для соответствия TCP одновременного открытия

Для одновременного открытия TCP, NAT должен:

не отправлять RST в качестве ответа на входящий пакет SYN, который не является частью какого-либо сопоставления
принимать входящий SYN для общедоступной конечной точки, если NAT ранее видел исходящий SYN для той же конечной точки

Этого достаточно, чтобы гарантировать хорошее поведение NAT в отношении одновременного открытия TCP.

Пробивка отверстий TCP и NAT операторского уровня (CGN)

Описанный выше метод отлично работает в CGN. CGN также может использовать перегрузка порта поведение, что означает, что отдельные внутренние конечные точки с одинаковым значением порта могут быть сопоставлены с одной и той же общедоступной конечной точкой. Это не нарушает уникальности ${протокол, общедоступный адрес, общедоступный порт, удаленный адрес, удаленный порт$ } пятикратный и, как следствие, приемлемый. TCP сохранение порта также может привести к перегрузке портов CGN, что не является проблемой для надежности протокола.Перегрузка порта for TCP позволяет CGN вместить больше хостов внутри, сохраняя при этом гарантии сквозной связи TCP.