Güvenlik duvarı ve kurumsal ağlar
nixscale'in çalışması için ağınızın nelere izin vermesi gerektiğini, kısıtlı ağlarda ne olduğunu ve nelerin gerekmediğini öğrenin.
nixscale, kurumsal güvenlik duvarlarının arkasında çalışacak şekilde tasarlanmıştır: gelen bağlantıya ihtiyaç duymaz, yalnızca cihazın dışarı açtığı bağlantıları kullanır. Yine de çok kısıtlı ağlarda birkaç izin performansı belirler.
Gelen port açmanız gerekmez
Cihazlarınıza internetten erişilebilir olması ya da yönlendiricinizde port açmanız gerekmez. Bu, nixscale'in en önemli güvenlik özelliklerinden biridir: sunucularınız internete kapalı kalırken ekibiniz onlara ulaşır.
Giden izinler
| Hedef | Protokol/port | Ne için | Zorunlu mu |
|---|---|---|---|
Ağınızın kontrol sunucusu (<ağ-kimliği>.hs.nixscale.com) | TCP 443 | Cihazın ağa katılması, kuralların alınması | Evet |
| Aktarma (relay) sunucuları | TCP 443 | Doğrudan bağlantı kurulamadığında trafiğin aktarılması | Evet |
| Diğer cihazlar (doğrudan bağlantı) | UDP 41641 | Cihazdan cihaza doğrudan, hızlı bağlantı | Hayır, ama şiddetle önerilir |
| Aktarma sunucuları | UDP 3478 | Ağ adresi keşfi (STUN) — doğrudan bağlantıyı mümkün kılar | Hayır, ama önerilir |
Kaynak: Tailscale'in istemci port gereksinimleri.
UDP kapalıysa ne olur?
Bağlantı yine kurulur: cihazlar trafiği TCP 443 üzerinden aktarma sunucusuyla taşır. Fark hızdadır; aktarılan bağlantı doğrudan bağlantıdan yavaştır ve gecikme artar.
Dosya kopyalama ya da veritabanı gibi ağır işlerde fark belirginse, ağ yöneticinizden giden UDP 41641 ve UDP 3478 trafiğine izin vermesini isteyin.
Kurumsal ağlarda dikkat edilecekler
- TLS denetimi (SSL inspection). Giden HTTPS trafiğini açıp yeniden imzalayan sistemler, kontrol sunucusuna bağlantıyı bozabilir.
*.hs.nixscale.comadreslerini denetim dışı bırakın. - Sabit IP filtreleri. Aktarma sunucuları dünya genelinde dağıtıktır ve adresleri değişebilir; TCP 443 çıkışını alan adı bazlı ya da genel olarak açmak daha güvenlidir.
- Misafir ağları ve otel ağları. Giriş sayfası (captive portal) olan ağlarda önce tarayıcıdan giriş yapın; nixscale sonra bağlanır.
- Sunucu güvenlik duvarları. Sunucunuzda giden bağlantıları sınırlıyorsanız yukarıdaki listeye izin verin; gelen kural eklemeniz gerekmez.
Yerel ağ paylaşan cihazlar
Bir gateway cihazı arkasındaki yerel ağı paylaşıyorsa, o cihazda IP yönlendirmesinin açık olması ve yerel güvenlik duvarının bu trafiğe izin vermesi gerekir: Yerel ağ paylaşmak.