Zahtjevi za VPN portove: tri reda koja se pišu prije poređenja

Liste portova za VPN usluge kopiraju se između stranica za poređenje bez detalja koji odlučuje da li su važne: ko započinje vezu. Pravilo koje dozvoljava odlazni TCP 443 ne govori ništa o tome može li drugi host dosegnuti slušač na vašem računaru. Napišite tri odvojena zahtjeva prije nego što uporedite ijedan plan i označite koje vaš zadatak zaista treba. Većina poređenja se svodi na jedno kratko pitanje kad taj list postoji.

Razdvojite zahtjev prije nego što pročitate bilo koju listu portova

Tri reda pokrivaju gotovo svaki slučaj: dosezanje odredišta izvan tunela, objavljivanje nečega da bi se drugi mogli spojiti i nošenje samog tunela. Svaki red pada iz drugog razloga, a politika provajdera koja zadovoljava jedan može ostaviti druga dva netaknuta. Razvrstavanje zadatka u pravi red traje pet minuta i štedi raspravu kasnije.

Marketinške izjave namjerno zamagljuju tri reda. Dozvola za P2P opisuje politiku odredišta, namijenjena adresa opisuje adresu, a tvrdnja da nema ograničenja portova obično znači da ih plan ne nabraja. Nijedna od tih fraza ne odgovara na ostale.

Odaberite jedan konkretan tok i napišite ga kao rečenicu: pokretač, prijenos, port, porodica adresa, smjer. Noćni klijent za rezervne kopije koji otprema na udaljeni host je samo odlazni. Server igre na vašem radnom stolu kojem se prijatelji pridružuju je dolazni. Pokretanje oba kroz jedan tunel znači da su listu potrebna oba reda, a ne kompromis između njih.

Odlazni pristup pada na politici odredišta, ne na tunelu

Odlazni saobraćaj kroz prevodeću bramu stvara stanje. Prvi paket s interne adrese i porta gradi zapis prijevoda i odgovori se s njim poklapaju, što je ponašanje preslikavanja opisano u RFC 3022. Taj mehanizam je razlog zašto kartica preglednika obično radi bez ikakvog zahtjeva za port.

Dvije stvari to još uvijek kvare. Izlazni čvor može filtrirati odredišta ili brojeve portova koje smatra zloupotrebljivim, a aplikacija može slušati na portu koji izlazna politika nikad nije očekivala. Pitajte o paru odredišta, a ne o dolaznim pravilima, i očekujte različite odgovore za TCP i UDP.

Mjerite prije nego što se prepirete. Pokrenite ovo na računaru koji će stajati iza tunela, jednom s isključenim tunelom i jednom s uključenim:

ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://example.com

Iste naredbe, isto odredište, dva stanja tunela daju operateru poređenje prije i poslije po kojem može postupiti. Zamijenite dokumentacijsku adresu hostom koji vam zaista treba; važno je da se poređenje ponavlja, a ne da neki broj izgleda impresivno.

Dolazno objavljivanje traži preslikavanje, adresu i rok trajanja

Ništa izvana ne može započeti vezu s vašim slušačem ako nešto na javnoj strani ne zna gdje ga dostaviti. Statna rezervacija porta koju drži operater, preslikavanje koje zatraži klijent kroz UPnP, NAT-PMP ili PCP i rutirana javna adresa tri su različita proizvoda s tri različita ograničenja.

Postavite pet pitanja o bilo kojem od njih: koji protokol, koji vanjski port, može li se vanjski port razlikovati od lokalnog, koju porodicu adresa pokriva i koliko preslikavanje preživi ponovno spajanje. Rezervacija vezana za aktivnu sesiju nestaje kad ta sesija završi, šta god stranica plana govorila.

Prvo potvrdite lokalnu polovinu, jer mrtav slušač i blokiran dolazni put izvana izgledaju isto:

ss -lntup | grep -E ':(8080|51820)\b'
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080

Kad lokalni zahtjev vrati 200, a zahtjev iz mreže koju ne kontrolišete još uvijek istekne, praznina je na javnoj strani. To je trenutak da operateru kažete protokol i vanjski port umjesto da aplikaciju opisujete po imenu.

Vlastiti prijenos tunela je odvojeno pitanje

Portovi nosača najmanji su dio problema i najlakše ih je provjeriti. Zadane vrijednosti razlikuju se po protokolu, a ono o čemu klijent može pregovarati važnije je od bilo kojeg opisa plana.

Mreža koja odbacuje odlazni UDP prihvatit će tunel TCP 443 i odbiti UDP, pa rezervni način rada pripada na list zahtjeva. Promjena nosača ne pomjera port aplikacije unutar tunela i ne širi politiku odredišta; oni ostaju u svojim redovima.

Fragmentacija zaslužuje jednu provjeru dok ste tamo, jer tunel koji se spoji i zatim zapne na velikim prijenosima obično ima pogrešan MTU, a ne zatvoren port:

ping -M do -s 1400 203.0.113.10
ping -M do -s 1372 203.0.113.10

Na Windowsu je ista provjera ping -f -l 1400 203.0.113.10. Postavite MTU tunela ispod najveće veličine koja prolazi, pa ponovno testirajte prijenos koji je pao.

Provjerite tri reda prije nego što platite plan

Stavite tri reda na jednu stranicu i napunite svaku ćeliju izmjerenim rezultatom umjesto obećanjem. Ove naredbe daju lokalnu polovinu te stranice za otprilike minutu:

ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
ping -M do -s 1400 203.0.113.10

Čitajte izlaz kao kontrolnu listu. Odlazni radi kad odredište odgovori s uključenim tunelom. Dolazni radi samo kad host izvan vaše mreže dosegne slušač na vanjskom portu. Nosač radi kad se rukovanje završi na protokolu koji vaša pristupna mreža dopušta.

Dvije navike drže list iskrenim. Zapišite datum i verziju klijenta uz svaki rezultat, jer se i politike provajdera i zadane postavke klijenta mijenjaju. Zatim tražite najuže preslikavanje koje služi toku, jer zahtjev da se sve otvori obično zaradi odbijenicu ili ponudu za skuplji plan, a ne tehnički odgovor.