A yw TCP 443 yn helpu mewn gwirionedd? Dim ond os yw'r gweinydd yn gwrando yno

Mae TCP 443 yn gefnlen ag amod ymlaen llaw, nid yn guddwisg sy'n llithro twnnel heibio unrhyw hidlydd. Mae'n helpu pan fo'r gweithredwr yn cyhoeddi gwrandawr TCP ar y porth hwnnw eisoes ac yn aros i'r llwybr oddef cysylltiad sy'n parhau ar agor am oriau. Mae'n methu, fel arfer fel cyfnod goramser, pan fydd y naill neu'r llall o'r rhain ar goll, ac anaml y dywed y cyfnod goramser pa un. Mae penderfynu a ddylid newid yn gofyn tair cwestiwn, a dim ond un ohonynt sy'n ymwneud â rhif y porth.

Nid yw rhif porth yn addewid cludiant

Mae porth yn enwi pen draw; mae TCP yn ei droi'n ffrwd drefnol o feitiau; OpenVPN sy'n penderfynu beth sy'n teithio o fewn y ffrwd honno. Mae gweinydd gwe ar yr un rhif yn defnyddio trefniant cymhwysiad hollol wahanol, felly mae rhannu porth 443 yn gwneud y ddau'n debyg i hidlydd a dim mwy. Mae'r rhif yn awgrym y mae hidlydd yn ei ddarllen, nid yn nodwedd sy'n newid yr hyn sydd ym mhacedi. Trin y ddau fel yr un peth oherwydd eu bod yn rhannu porth yw'r camgymeriad y tu ôl i'r rhan fwyaf o'r dryswch yma.

Anaml y mae blwch canol yn gwneud penderfyniad caniatáu-neu-wadu syml am borth. Mae llawer yn archwilio'r beitiau cyntaf, mae rhai yn pinio cyrchfan, ac mae rhai yn ailosod cysylltiadau sy'n aros ar agor yn rhy hir. Dyna pam y gall yr un proffil weithio o un rhwydwaith a mynd dros amser o un arall, a dyna pam mae cefnlen yn werth ei phrofi fel opsiwn a gefnogir yn hytrach na ymddiried ynddi fel addewid. Pan fydd hidlydd yn archwilio traffig, rhif y porth yw'r peth cyntaf y mae'n edrych arno yn unig.

Cadarnhewch y gwrandawr cyn cyffwrdd â'r proffil

Rhaid i'r gweinydd gael ei ffurfweddu ar gyfer TCP ar y porth, a rhaid i broffil y cleient ofyn am yr un cludiant. Nid yw ailysgrifennu proffil UDP i ofyn am TCP yn creu'r gwrandawr, ac nid yw'r cyfnod goramser sy'n deillio o hynny yn wahaniaethol oddi wrth wal dân sy'n gollwng y porth. Lawrlwythwch broffil TCP yr gweithredwr ei hun pan fydd un yn bodoli, oherwydd mae rhai gwasanaethau'n cyhoeddi pen draw ar wahân a gosodiadau hunaniaeth ar wahân ar gyfer pob cludiant. Mae golygu â llaw yn iawn ar gyfer prawf rheoledig ac yn ffordd wael o ddyfalu'r ffurfweddiad a fwriadwyd gan y darparwr.

Mae dwy ochr y cyfateb hwnnw i'w gweld yn y ffurfweddiad, ac mae opsiynau cyswllt prosiect OpenVPN yn dogfennu'r ddau ffurf. Mae'r pâr lleiaf yn edrych fel hyn:

# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443

Mae tair amod yn penderfynu a yw'r gefnlen yn talu

Yr amod gyntaf yw bod y gweithredwr yn cynnig y cludiant o gwbl; heb hynny, nid oes unrhyw beth arall yn bwysig. Yr ail yw bod y llwybr yn cadw sesiwn hirhoedlog yn fyw, gan fod rhai rhwydweithiau'n ailosod cysylltiadau sy'n aros ar agor yn hytrach na blocio'r porth yn llwyr. Y drydedd yw a yw'r gefnlen yn eithriad bwriadol neu'n gylchdro sy'n cuddio nam nad ydych wedi'i drwsio.

Mae gan bob amod wiriad rhad. Mae methiant ar unrhyw un ohonynt yn edrych yr un fath o safbwynt y cleient:

Cyn cymharu cludiant, gorffennwch unrhyw fewngofnodi ar borth captif. Mae rhwydwaith nad yw wedi derbyn eich dyfais yn blocio'r ddau gludiant, ac yna mae'r gymhariaeth yn mesur y porth yn hytrach na'r twnnel. Mewngofnodwch, cadarnhewch fod pori cyffredin yn gweithio, ac yn unig wedyn dechreuwch y prawf.

Y gost rydych yn ei derbyn: TCP y tu mewn i TCP

Mae TCP yn ail-anfon segmentau coll ac yn cadw eu trefn. Pan fydd cymhwysiad sy'n defnyddio TCP hefyd yn rhedeg y tu mewn i dwnnel TCP, mae dwy haen adfer yn ymateb i'r un golled, a'r rhyngweithiad hwnnw sy'n gwneud i'r twnnel deimlo'n araf ar lwybr colledus. Y symptom yw oedi a jitter yn hytrach na methiant glân, sy'n ei gwneud hi'n hawdd beio'r pen pell. Mesurwch o'r cleient o dan y ddau gludiant cyn dod i gasgliad.

Mae UDP yn osgoi'r nythu hwn, a dyna'r prif reswm y mae gweithredwyr yn ei ffafrio ac yn cynnig TCP fel arall yn unig. Mae cysylltiad TCP sefydlog yn dal yn fwy defnyddiol na chysylltiad UDP anghyraeddadwy, felly mae'r gymhariaeth rhwng dwy gost wirioneddol yn hytrach nag rhwng opsiwn da a drwg. Cadwch y ddyfais a'r rhwydwaith mynediad yn llonydd wrth i chi gymharu, neu bydd y canlyniad yn disgrifio'r newidyn anghywir.

Mae rhai nodweddion cleient wedi'u dogfennu ar gyfer un cludiant yn unig, felly gall proffil cefnlen ollwng ymddygiad y gwnaethoch ddibynnu arno yn dawel. Darllenwch ofyniad cludiant yr opsiwn cyn trin y proffil TCP fel cyfnewid syml.

Namau nad yw cludiant gwahanol yn cyffwrdd â hwy

Mae tystysgrif wedi dod i ben yn dal i fod angen gwirio cloc neu adnewyddiad, ac mae cyfrif a wrthodwyd yn dal i fod angen y manylion prawf cywir. Cadwch y gwiriadau hunaniaeth gweinydd a ddarparwyd gan y gweithredwr, oherwydd nid yw rhif porth cyfarwydd yn dilysu neb. Nid yw porth sy'n ateb yn dweud dim ond bod rhywbeth yn gwrando.

Os daw'r twnnel i fyny ac os yw cyrchfannau'n parhau i fethu, y broblem sy'n weddill yw llwybro neu ddatrys enwau ar ôl y cysylltiad, nid y cludiant. Dilynwch y llwybr hwnnw yn hytrach na mynd o borth i borth, oherwydd dyna sut mae prynhawn yn diflannu. Mae'r proffil yn dweud pa gludiant i'w roi ar brawf; nid yw byth yn dweud pam y methodd y llwybr UDP.