Wofür Tunneling tatsächlich gebraucht wird

Man baut zu Hause einen kleinen Speicherdienst auf, fährt ins Büro, versucht ihn zu erreichen, und nichts antwortet. Man lässt einen Rückrufendpunkt für Zahlungen auf dem Laptop laufen, und die Testanfrage des Anbieters kommt nie an. Man möchte eine Mehrspielersitzung für Freunde hosten und stellt fest, dass alle hinter einer privaten Adresse sitzen. Das Problem darunter ist in allen drei Fällen dasselbe: Die eigene Maschine hat keine öffentliche Adresse, eine Anfrage von außen hat also kein Ziel.

Der herkömmliche Weg besteht aus drei Schritten, an denen die meisten schon beim ersten aufgeben. Eine öffentliche Adresse besorgen, Portweiterleitung im Router einrichten, dynamisches DNS aufsetzen. Viele Anbieter geben gar keine öffentliche Adresse mehr heraus. Ein Tunneldienst existiert, um diesen ganzen Haufen zu umgehen: Ein Vermittlungsserver hält die öffentliche Seite, und Anfragen werden über eine Verbindung nach innen getragen, die die eigene Maschine selbst geöffnet hat.

Vier Schritte, ohne Router-Anmeldung

Die Einrichtung ist absichtlich kurz. Client installieren, Konto anlegen, eine Zuordnung hinzufügen, die einen Port der inneren Maschine mit einem Namen draußen verbindet, fertig. Nichts davon verlangt die Verwaltungsseite des Routers oder einen Anruf beim Anbieter, und genau das ist der Punkt: Wer so etwas braucht, ist meistens derjenige, der weder die Routerseite noch die Kooperation des Anbieters bekommt.

TCP und UDP werden beide übertragen, und diese Breite macht den Dienst brauchbar statt zu einem Trick für Webseiten. Ein Webdienst, eine Remotedesktopsitzung, ein FTP-Server, ein Spielserver und ein Nachrichtenvermittler für ein Sensornetz funktionieren alle, weil das Protokoll darunter nicht weiß, was die Bytes bedeuten.

Jeder zugeordnete Name bekommt außerdem automatisch ein HTTPS-Zertifikat. Für Entwickelnde entfällt damit ein sehr konkreter und sehr vertrauter Ärger: Zahlungs- und Identitätsanbieter verlangen einen Rückruf über HTTPS, und das lokal zu testen bedeutete früher, ein selbst signiertes Zertifikat zu erzeugen und dann einen Dritten davon zu überzeugen, ihm zu vertrauen — was unmöglich ist. Hier hat der Rückruf ab der ersten Minute ein echtes Zertifikat.

Plattformen und die passenden Lagen

Der Client deckt die drei Desktop-Systeme ab und lässt sich zusätzlich direkt auf einem Router installieren, was bedeutet, dass der Tunnel am Rand des Netzes endet statt auf einer Maschine darin. Diese eine Möglichkeit deckt viel Boden ab: Alles hinter dem Router wird erreichbar, ohne dass irgendwo ein Client laufen muss.

Die Anwendungsfälle, die Leute tatsächlich mitbringen, sind gleichförmig. Interne Geschäftssysteme wie Warenwirtschaft oder Büroanwendungen von außen erreichen. Rückrufe von Zahlungs- und Identitätsdiensten testen, die auf HTTPS bestehen. Im Reisezustand an ein Speichergerät zu Hause oder im Büro kommen. Eine Mehrspielersitzung hosten, ohne einen Server zu mieten. Sensordaten aus dem Feld zurückholen. Der Betreiber nennt Größenordnungen von einigen Millionen Nutzern und Zehntausenden Unternehmen, und die Vermittlungsseite läuft über ein Bündel mehrerer Leitungen statt über eine einzige Route.

Kostenlose und bezahlte Stufe

Die kostenlose Stufe gibt einen Tunnel und einen Port, mit genug Bandbreite für tägliche Tests und zeitweiligen Zugriff, was eine faire Beschreibung dessen ist, was man zum Ausprobieren einer Idee braucht. Die bezahlten Stufen zielen auf Dinge, die stehen bleiben müssen: interne Unternehmenssysteme, veröffentlichte Projekte, latenzempfindliche Mehrspielersitzungen. Mehr Bandbreite, gleichmäßigerer Dienst, und die Angabe des Anbieters, die Verfügbarkeit liege im Bereich dessen, was Finanzdienste verlangen, mit einer Vermittlung, die seit Jahren ohne Unterbrechung läuft. Eine einmalige Lizenz gibt es für alle, die nicht jährlich verlängern möchten.

Es gibt eine Lage, in der das nicht die richtige Antwort ist, und das gehört offen gesagt. Wer bereits eine öffentliche Adresse hat oder damit zurechtkommt, einen selbst betriebenen Tunneldienst auf einem billigen Server laufen zu lassen, zahlt bei einem verwalteten Dienst monatlich für etwas, das er selbst betreiben kann. Verkauft wird nicht der Tunnel, sondern das Fehlen des Servers, der Konfiguration des vorgelagerten Vermittlers und der jährlichen Zertifikatserneuerung.

Die ganze Idee ist, dass Tunneling etwas wird, das man kauft, statt etwas, das man wartet. Keine Vermittlung zu flicken, keine Proxykonfiguration zu schreiben, kein Zertifikat zu jagen. Für einzelne Entwickelnde oder ein kleines Team sind die gesparten Stunden mehr wert als die Gebühr, und die erste dieser Stunden beginnt, sobald der Client fertig installiert ist.