Ладно... Но у меня нет идей, как решить эту проблему на основе этой информации. Я смог убедить клиента подождать с установкой до следующей недели. Но установка обязательно должна быть выполнена на следующей неделе. Пока проблема не решится, я буду использовать проброс портов. Другого выхода у меня нет. Спасибо всем...

В чём была причина, по которой ты просто не мог добавить правило файрвола на USG, чтобы разрешить CLOUDKEY выходить по любому протоколу куда угодно?

Спасибо за совет, но такого фаервола нет. Есть модем от провайдера и USG от Ubiquiti. Больше ничего. Другой инфраструктуры нет. До того как я порекомендовал USG клиенту, я никогда его не видел. Это была большая ошибка. Я прочитал что-то про «VPN» в характеристиках и подумал, что смогу настроить VPN-соединение. Я даже не догадывался, что это старый и небезопасный PPTP VPN. Он вообще не подходит. Проброс порта 8443 в худшем случае менее опасен, чем PPTP VPN. Крис

Суть в том, что WebRTC использует ICE (interactive connectivity establishment) для поиска наилучшего рабочего пути между двумя конечными точками. Рефлексивный кандидат — это адрес/порт, назначенный NAT при отображении внутреннего адреса/порта. Подробнее об этом можно прочитать в RFC5245.

Это говорит мне о том, что фаервол на объекте, где находится контроллер, в какой-то мере ограничивает работу WebRTC. Контроллер имеет неограниченный доступ к интернету, и я могу без проблем подключиться к нему с телефона через приложение Unifi. Поэтому я не могу понять, почему проблема должна быть именно на фаерволе. Может быть, кто-то из Unifi подскажет нам что-то по этому поводу?

@UBNT-JohnMuhs

Честно говоря, я не знаю, как решить эту проблему. Функция облачного доступа была одной из ключевых причин, по которой клиент решил купить продукцию Unifi. Ему нужно подключаться к контроллеру без проброса портов и без открытия VPN. «Поэтому я не понимаю, почему это может быть связано с фаерволом.» Но если вы можете подключиться через приложение на телефоне, значит дело не в фаерволе. Если на телефоне работает, то и на любом ПК должно. Пробовали другой браузер или даже другой компьютер?

@phk46, ты отвечаешь не тому человеку. Моя мысль была в том, что мой контроллер работает отлично, когда только эти исходящие порты открыты. Хотя, наверное, я мог выразиться яснее, так что твое недоразумение понятно. Я обновил свой пост, чтобы было понятнее.

Я предполагаю, что проблема в фильтре исходящих пакетов. Хотя я точно не знаю, как контроллер использует WebRTC, основная задача WebRTC — попробовать разные способы установить прямое соединение между двумя сторонами. В нашем случае этими сторонами будут ваш браузер и контроллер. unifi.ubnt.com выступает посредником в этом процессе, передавая метаданные между ними во время поиска пути для прямого соединения. Это в первую очередь предназначено для настройки RTP-потоков для аудио- и видеосессий в реальном времени, но может использоваться и для установления передачи данных. Думаю, именно это и происходит.

Эти потоки идут через динамически назначаемые порты. Обе стороны координируются, отправляя навстречу друг другу исходящие запросы, чтобы использовать обычное поведение межсетевого экрана, который открывает входящие «дырки» для UDP, когда фиксирует исходящий UDP-трафик. Когда обе стороны отправляют такие запросы навстречу друг другу, обычно после нескольких попыток удаётся наладить соединение без полной настройки межсетевого экрана на приём входящего UDP.

WebRTC также выполняет много других действий для обхода NAT и прочих препятствий, но суть остаётся той же. Если вы не разрешаете исходящие запросы по динамическим портам, то всё это работать не будет — разве что когда и браузер, и контроллер находятся за одним и тем же файрволом.

Почему у вас всё работает с мобильным приложением — объяснить не могу.

Это говорит мне о том, что брандмауэр на объекте с контроллером настроен так ограничительно, что нарушает работу WebRTC. Ты можешь попробовать провести простые тесты WebRTC (не связанные с UniFi). (Знаю, что они есть, но где именно — не подскажу.)

Вы тестировали из мобильного приложения UniFi, находясь в сети вашего мобильного оператора? Этот тест должен показать, работает ли внешний доступ корректно. Откройте приложение, нажмите на свой контроллер, затем включите настройку «Force WebRTC». После этого нажмите «Запустить» на сайте и посмотрите, что произойдет.

Когда вы проводили другие тесты, находилось ли устройство, с которого вы тестировали, вне вашего файрвола, или вы пытались сделать обратное подключение через файрвол?

Грегг