Ці дапамагае TCP 443 насамрэч? Толькі калі сервер слухае гэты порт
Профіль TCP — гэта запасны варыянт, а не маскіроўка. Праверце, ці слухае сервер гэты порт, а затым узважце падвойную цану TCP супраць недаступнасці.
TCP 443 — гэта запасны варыянт з папярэдняй умовай, а не маскіроўка, якая працягвае тунэль праз любы фільтр. Ён дапамагае, калі аператар ужо публікуе TCP-слухач на гэтым порце, а шлях трымае злучэнне, якое застаецца адкрытым гадзінамі. Ён не спраўляецца, звычайна як тайм-аўт, калі аднаго з гэтых двух няма, і тайм-аўт рэдка ўказвае, якога менавіта. Рашэнне, ці пераключацца, патрабуе трох пытанняў, і толькі адно з іх пра нумар порта.
Нумар порта — не абяцанне транспарту
Порт называе канчатковую кропку; TCP ператварае яго ва ўпарадкаваны паток байтаў; OpenVPN вырашае, што ідзе ўнутры гэтага патоку. Вэб-сервер на тым жа нумары выкарыстоўвае цалкам іншую арганізацыю праграмы, таму агульны порт 443 робіць іх падобнымі для фільтра і не больш. Нумар — гэта падказка, якую чытае фільтр, а не ўласцівасць, якая змяняе змесціва пакетаў. Ставіцца да іх як да аднаго таму, што яны дзеляць порт, — гэта памылка, якая стаіць за большасцю блытаніны тут.
Прамежкавыя прылады рэдка прымаюць простае рашэнне «дазволіць або забараніць» адносна порта. Многія праглядаюць першыя байты, некаторыя замацоўваюць прызначэнне, а некаторыя скідваюць злучэнні, якія застаюцца адкрытымі занадта доўга. Таму адзін і той жа профіль можа працаваць з адной сеткі і сканчацца тайм-аўтам з іншай, і таму запасны варыянт варта правяраць як падтрыманую опцыю, а не давяраць яму як абяцанню. Калі фільтр аглядае трафік, нумар порта — гэта толькі першае, на што ён глядзіць.
Пацвердзіце слухач, перш чым чапаць профіль
Сервер павінен быць наладжаны на TCP на гэтым порце, а кліенцкі профіль павінен запытваць той жа транспарт. Перапісванне профілю UDP на запыт TCP не стварае слухач, і ўзніклы тайм-аўт не адрозніць ад міжсеткавага экрана, які скідвае порт. Спампуйце ўласны профіль TCP аператара, калі ён ёсць, бо некаторыя сэрвісы публікуюць асобную канчатковую кропку і асобныя налады ідэнтычнасці для кожнага транспарту. Ручное рэдагаванне добрае для кантраляванага тэсту і дрэнны спосаб здагадацца пра намер пастаўшчыка.
Абодва бакі гэтай адпаведнасці бачныя ў канфігурацыі, і опцыі спасылкі праекта OpenVPN апісваюць абедзве формы. Мінімальная пара выглядае так:
# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443Тры ўмовы вырашаюць, ці апраўдае запасны варыянт сваю цану
Першая ўмова — аператар наогул прапануе гэты транспарт; без яе ўсё астатняе не мае значэння. Другая — шлях трымае доўгую сесію, бо некаторыя сеткі скідваюць злучэнні, якія застаюцца адкрытымі, замест таго каб цалкам блакаваць порт. Трэцяя — ці з'яўляецца запасны варыянт наўмысным выключэннем, а не абыходам, які хавае нявыпраўленую памылку.
Кожная ўмова мае танную праверку. Збой на любой з іх выглядае з боку кліента аднолькава:
| Condition | How to check it | What a failure decides |
|---|---|---|
| The server offers TCP | The operator's profile list, or a listening-socket check on the server | No client-side edit can help |
| The path keeps long sessions | A test connection left open for an hour | Reconnects will look like server faults |
| The fallback is deliberate | A change record naming the UDP fault | The underlying fault stays invisible |
Перш чым параўноўваць транспарты, завяршыце любы ўваход праз партал перахопу. Сетка, якая не дапусціла вашу прыладу, блакуе абодва транспарты, і тады параўнанне вымярае партал, а не тунэль. Увайдзіце, пераканайцеся, што звычайны прагляд працуе, і толькі пасля гэтага пачынайце тэст.
Цана, якую вы прымаеце: TCP унутры TCP
TCP паўторна перадае страчаныя сегменты і захоўвае іх парадак. Калі праграма, якая таксама выкарыстоўвае TCP, працуе ўнутры тунэля TCP, два ўзроўні аднаўлення рэагуюць на адну і тую ж страту, і менавіта гэтае ўзаемадзеянне робіць тунэль павольным на шляху са стратамі. Сімптом — затрымка і дрыжанне, а не чысты збой, што робіць лёгкім абвінавачванне далёкага боку. Вымярайце з боку кліента на абодвух транспартах, перш чым рабіць выснову.
UDP пазбягае гэтага ўкладання, і гэта галоўная прычына, чаму аператары аддаюць яму перавагу і прапануюць TCP толькі як альтэрнатыву. Стабільнае злучэнне TCP усё яшчэ карыснейшае за недасяжнае злучэнне UDP, таму параўнанне ідзе паміж двума рэальнымі выдаткамі, а не паміж добрым і дрэнным варыянтам. Трымайце прыладу і сетку доступу нязменнымі, пакуль параўноўваеце, інакш вынік апісвае не тую зменную.
Некаторыя функцыі кліента дакументаваныя толькі для аднаго транспарту, таму запасны профіль можа ціха скінуць паводзіны, ад якіх вы залежалі. Прачытайце патрабаванне опцыі да транспарту, перш чым лічыць профіль TCP простай заменай.
Збоі, якіх іншы транспарт не кранае
Прагэрмінаваны сертыфікат усё яшчэ патрабуе праверкі гадзінніка або абнаўлення, а адхілены ўліковы запіс — правільных уліковых даных. Захоўвайце праверкі ідэнтычнасці сервера, якія даў аператар, бо знаёмы нумар порта нікога не аўтэнтыфікуе. Порт, які адказвае, гаворыць толькі пра тое, што нешта слухае.
Калі тунэль узнімаецца, а прызначэнні ўсё яшчэ недасяжныя, то пакінутая праблема — маршрутызацыя або развязанне імёнаў пасля злучэння, а не транспарт. Ідзіце гэтым шляхам, замест таго каб перабіраць парты, бо менавіта так знікае палова дня. Профіль кажа, які транспарт паспрабаваць; ён ніколі не кажа, чаму шлях UDP не спрацаваў.