Ydy'r ISP yn blocio UDP, neu'r ap y tu mewn i'r twnnel?

Mae rhywun yn adrodd bod y VPN yn „blocio UDP“, ac mae'r ymadrodd yn cuddio dau haeriad hollol wahanol. Mae un yn ymwneud â'r cludiant y gall y rhwydwaith mynediad ei weld, a'r llall â phecynnau rhaglen ar ôl iddynt gael eu dadgryptio y tu mewn i'r twnnel. Gellir hidlo twnnel wedi'i amgryptio o'r tu allan heb unrhyw allwedd, a gall rhaglen UDP fewnol fethu am resymau nad oes ganddynt ddim i'w wneud â hidlo. Penderfynwch pa haeriad rydych chi'n ei brofi cyn casglu tystiolaeth.

Dau bennawd, un gair

Mewn gosodiad IPsec gyda NAT-traversal, y pecyn allanol yw UDP wedi'i gyfeirio rhwng dau bwynt terfyn y VPN, fel arfer ar borth 4500. Y tu mewn i hynny, mae'r llwyth wedi'i amgryptio yn cario popeth y mae'r twnnel yn ei anfon ymlaen, a allai fod yn TCP neu'n UDP ei hun. Felly mae'r gair UDP yn ymddangos ddwywaith gydag ystyron gwahanol a gwelededd gwahanol.

Mae rhwydwaith canolraddol yn gweld y pennawd allanol ac yn gweld dim o'r un mewnol. Gall ganiatáu, llunio neu ollwng y llif allanol, ac nid oes angen dadgryptio unrhyw beth i wneud hynny. Yr anghymesuredd hwnnw yw'r rheswm cyfan dros gymysgu'r ddau haeriad: mae'r un gair yn disgrifio'r hyn y mae'r rhwydwaith yn ei hidlo a'r hyn y mae'r rhaglen yn ei anfon. Ysgrifennwch yr haen wrth ymyl y gair pryd bynnag y cofnodwch ganfyddiad, ac mae'r dryswch yn diflannu i raddau helaeth.

Dim ond yn y pwynt terfyn derbyn y daw'r pennawd mewnol yn weladwy, ar ôl dadgryptio. O'r pwynt hwnnw ymlaen mae'r pecyn yn cael ei anfon ymlaen fel unrhyw un arall, yn ddarostyngedig i lwybrau, polisi a hidlo'r pwynt terfyn ei hun. Penderfyniadau ar wahân yw'r rhain a wneir gan flociau gwahanol.

Beth all y rhwydwaith ei weld o hyd

Mae amgryptio yn cuddio'r llwyth a'r pennawd cludiant mewnol, nid y ffaith bod llif yn bodoli. Mae cyfeiriadau pwyntiau terfyn, porthladdoedd, meintiau pecynnau ac amseru yn parhau'n weladwy, ac mae'r rheini'n ddigon i ddosbarthu traffig yn hewristig neu i flocio cyrchfan benodol.

sudo tcpdump -ni eth0 'udp port 4500'
sudo tcpdump -ni tun0 'udp port 5201'

Mae'r cipiad cyntaf yn dangos y llif allanol ar y rhyngwyneb ffisegol, a'r ail yn dangos y llif mewnol ar ryngwyneb y twnnel. Mae rhedeg y ddau ar unwaith yn ateb y cwestiwn yn uniongyrchol: os yw'r llif allanol yn bodoli ac nad yw'r un mewnol, ni anfonodd y rhaglen ddim i mewn i'r twnnel. Os yw'r ddau yn bodoli ac nad oes dim yn dod yn ôl, mae'r broblem y tu hwnt i'r twnnel, yn y gyrchfan neu ar y llwybr dychwelyd.

RFC 3948 sy'n diffinio'r encapswleiddio UDP allanol, ac mae manyleb ESP yn diffinio'r cynllun gwarchodedig y tu mewn iddo. Nid yw'r naill ddogfen na'r llall yn addo y bydd rhwydwaith mynediad yn pasio'r llif allanol, a dyna pam mae'n werth rhedeg prawf cyrhaeddedd ar y tuple allanol cyn unrhyw ddamcaniaeth am yr un mewnol. Mae tuple allanol wedi'i flocio yn cynhyrchu twnnel nad yw byth yn ffurfio, nid twnnel sy'n ffurfio ac wedyn yn colli un rhaglen.

Pam mae un ap UDP yn methu y tu mewn i dwnnel sy'n gweithio

Mae gan dwnnel sy'n cario rhaglen we ond nid rhaglen UDP sawl esboniad credadwy, ac nid hidlo'r protocol mewnol gan yr ISP yw'r cyntaf. Y mwyaf cyffredin yw gorchudd: nid yw'r ddwy raglen yn mynd i'r un twnnel, oherwydd bod y llwybr i gyrchfan UDP ar goll neu fod rheolau twnnel hollt y cleient yn ei eithrio.

Yr ail yw'r pwynt terfyn. Bydd gweinydd VPN sy'n caniatáu rhestr protocol, mur cadarn yn y gyrchfan, neu wasanaeth nad yw byth yn gwrando ar y porthladd disgwyliedig, i gyd yn cynhyrchu terfyn amser sy'n edrych yn union yr un fath â bloc rhwydwaith.

Y trydydd yw maint y pecyn. Mae apiau UDP yn aml yn anfon datagramau mwy na chais gwe, ac mae encapswleiddio yn lleihau'r MTU defnyddiadwy, felly gall ysgwyd llaw llwyddiannus gael ei ddilyn gan dawelwch ar y llwyth llawn maint cyntaf. Mae'r patrwm hwnnw'n hawdd ei gamddarllen fel bloc, oherwydd bod y pecynnau bach yn llwyddo a'r rhai mawr yn diflannu. Mae prawf MTU cyflym yn setlo hyn mewn llai na munud, a'r ateb fel arfer yw llwyth llai neu MSS wedi'i gywiro yn hytrach na hidlydd rhwydwaith.

ping -M do -s 1400 -c 2 10.60.0.20
iperf3 -u -c 10.60.0.20 -p 5201 -b 1M -t 5

Mae'r gorchymyn cyntaf yn profi a yw pecyn mawr yn goroesi'r llwybr gyda darnio wedi'i analluogi, sy'n datgelu problem MTU yn gyflym. Mae'r ail yn anfon llif UDP bach, cyfyngedig ac yn adrodd colled a jitter. Mae llif sy'n dechrau ac wedyn yn stopio yn cyfeirio at faint yn hytrach nag at floc.

Adroddwch yr haen, nid y protocol

Ysgrifennwch y canfyddiad mewn un o dair ffurf: methodd cludiant allanol, methodd anfon ymlaen mewnol, neu methodd y rhaglen. Mae gan bob un berchnogion gwahanol, ac mae eu cymysgu yn anfon y tocyn i'r tîm anghywir.

Ni all newid porthladd lleol greu gwrandäwr cyfatebol yn y pen pellaf, felly mae gwaith o amgylch ar ochr y cleient sy'n ymddangos yn helpu fel arfer yn dystiolaeth bod y gyrchfan wreiddiol yn anghywir. Yr un modd, mae proffil amgen a ddarperir yn profi rhywbeth am gyrhaeddedd a dim am a yw'r rhaglen wedi'i chyflunio'n gywir.

Cadwch gasgliad ar wahân i arsylwi hefyd. Gall dadansoddi traffig awgrymu beth yw llif heb ei ddadgryptio, ac mae hynny'n ganfyddiad defnyddiol, ond nid yw'r un haeriad â darllen y pennawd mewnol. Nodwch pa un sydd gennych mewn gwirionedd.