TCP 443 həqiqətən kömək edirmi? Yalnız server o portda dinləyirsə

TCP 443 ilkin şərti olan bir ehtiyat variantdır, tuneli hər hansı filtri keçirən kamuflyaj deyil. O, operatorun artıq həmin portda TCP dinləyicisi yayımladığı və marşrutun saatlarla açıq qalan bağlantıya dözdüyü halda kömək edir. Bu şərtlərdən biri yoxdursa, o, adətən gözləmə müddəti kimi uğursuz olur və gözləmə müddəti nadir hallarda hansının çatışmadığını deyir. Keçməyə dəyər olub-olmadığını qərar vermək üç sual tələb edir və onlardan yalnız biri port nömrəsinə aiddir.

Port nömrəsi nəqliyyat vədi deyil

Port son nöqtəni adlandırır; TCP onu nizamlı bayt axınına çevirir; OpenVPN həmin axının içində nəyin getdiyini müəyyən edir. Eyni nömrədəki veb server tamamilə fərqli tətbiq quruluşundan istifadə edir, buna görə 443 portunu paylaşmaq ikisini filtr üçün oxşar göstərir və başqa heç nə etmir. Nömrə filtrin oxuduğu bir işarədir, paketlərin içində nə olduğunu dəyişən xüsusiyyət deyil. İkisini portu paylaşdığı üçün eyni saymaq buradakı qarışıqlığın çoxunun arxasındakı səhvdir.

Ara qurğular port barədə nadir hallarda sadə icazə-ya-qadağa qərarı verir. Çoxu ilk baytları yoxlayır, bəziləri təyinatı bərkidir, bəziləri isə çox uzun açıq qalan bağlantıları sıfırlayır. Buna görə eyni profil bir şəbəkədən işləyə, digərindən gözləmə müddətinə düşə bilər və buna görə ehtiyat variantı vəd kimi qəbul etmək əvəzinə dəstəklənən seçim kimi sınamağa dəyər. Filtr trafiki yoxladıqda port nömrəsi onun baxdığı ilk şeydir, başqa heç nə deyil.

Profilə toxunmadan əvvəl dinləyicini təsdiqləyin

Server portda TCP üçün konfiqurasiya edilməli, müştəri profili isə eyni nəqliyyatı tələb etməlidir. UDP profilini TCP tələb etmək üçün yenidən yazmaq dinləyicini yaratmır və nəticədə yaranan gözləmə müddəti portu atan firewall-dan fərqlənmir. Operatorun öz TCP profili varsa onu endirin, çünki bəzi xidmətlər hər nəqliyyat üçün ayrı son nöqtə və ayrı kimlik parametrləri yayımlayır. Əl ilə redaktə nəzarətli test üçün yaxşıdır, provayderin nəzərdə tutduğu konfiqurasiyanı təxmin etmək üçün isə pis üsuldur.

Bu uyğunluğun iki tərəfi konfiqurasiyada görünür və OpenVPN layihəsinin keçid parametrləri hər iki formanı sənədləşdirir. Minimal cüt belə görünür:

# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443

Ehtiyat variantın öz xərcini ödəyib-ödəmədiyini üç şərt həll edir

Birinci şərt operatorun nəqliyyatı ümumiyyətlə təklif etməsidir; bu olmadan başqa heç nə əhəmiyyət daşımır. İkinci şərt marşrutun uzunömürlü sessiyanı saxlaya bilməsidir, çünki bəzi şəbəkələr portu tamamilə bloklamaq əvəzinə açıq qalan bağlantıları sıfırlayır. Üçüncü şərt ehtiyat variantın qəsdən edilmiş istisna, yoxsa düzəltmədiyiniz nasazlığı gizlədən keçici həll olmasıdır.

Hər şərtin ucuz bir yoxlaması var. Onlardan hər hansı birində uğursuzluq müştəri tərəfindən eyni görünür:

Nəqliyyatları müqayisə etməzdən əvvəl istənilən captive portal girişini tamamlayın. Cihazınızı qəbul etməmiş şəbəkə hər iki nəqliyyatı bloklayır və onda müqayisə tuneli deyil, portalı ölçür. Daxil olun, adi veb-səhifə açıldığını təsdiqləyin və yalnız bundan sonra testə başlayın.

Qəbul etdiyiniz xərc: TCP içində TCP

TCP itirilmiş seqmentləri yenidən göndərir və onların sırasını qoruyur. TCP-dən də istifadə edən tətbiq TCP tunelinin içində işləyəndə iki bərpa qatı eyni itkiyə reaksiya verir və tunelin itkili marşrutda yavaş hiss olunmasına səbəb məhz bu qarşılıqlı təsirdir. Simptom təmiz nasazlıq deyil, gecikmə və titrəyişdir və bu, uzaq tərəfi günahlandırmağı asanlaşdırır. Nəticə çıxarmazdan əvvəl müştəri tərəfdən hər iki nəqliyyatda ölçün.

UDP bu yuvalamadan qaçır və operatorların onu üstün tutmasının, TCP-ni isə yalnız alternativ kimi təklif etməsinin əsas səbəbi budur. Sabit TCP bağlantısı hələ də əlçatmaz UDP bağlantısından faydalıdır, buna görə müqayisə yaxşı seçimlə pis seçim arasında deyil, iki real xərc arasındadır. Müqayisə edərkən cihazı və giriş şəbəkəsini sabit saxlayın, əks halda nəticə səhv dəyişəni təsvir edir.

Bəzi müştəri funksiyaları yalnız bir nəqliyyat üçün sənədləşdirilir, buna görə ehtiyat profil asılı olduğunuz davranışı səssizcə itirə bilər. TCP profilini düz bir dəyişdirmə kimi qəbul etməzdən əvvəl seçimin nəqliyyat tələbini oxuyun.

Fərqli nəqliyyatın toxunmadığı nasazlıqlar

Vaxtı keçmiş sertifikat hələ də saat yoxlaması və ya yenilənmə tələb edir, rədd edilmiş hesab isə hələ də düzgün etimad məlumatları tələb edir. Operatorun verdiyi server kimliyi yoxlamalarını saxlayın, çünki tanış port nömrəsi heç kimi autentifikasiya etmir. Cavab verən port yalnız nəyinsə dinlədiyini bildirir.

Tunel qalxıb təyinatlar yenə də uğursuz olursa, qalan problem nəqliyyat deyil, bağlantıdan sonrakı marşrutlaşdırma və ya ad həllidir. Portlar arasında fırlanmaq əvəzinə o yolla gedin, çünki bir günorta məhz belə yox olur. Profil hansı nəqliyyatı sınamağınızı deyir; UDP marşrutunun niyə uğursuz olduğunu heç vaxt demir.