Pam mae llawer o gysylltiadau ap yn rhannu un sesiwn OpenVPN

Dychmygwch borwr yn llwytho tudalen HTTPS tra bod cleient SSH yn cyrraedd gweinydd arall ac mae datryswr yn ateb ymholiad, i gyd drwy un sesiwn OpenVPN. Ar y rhyngwyneb corfforol rydych yn gweld un sgwrs; y tu mewn i’r twnnel rydych yn gweld tair. Mae’r ddwy olwg yn gywir, a gwybod pam yw’r gwahaniaeth rhwng cipiad defnyddiol a chipiad dryslyd. Dilynwch un llif mewnol o’r soced i’r wifren ac mae’r haenu yn peidio â bod yn haniaethol.

Un sgwrs allanol, llawer o lifau mewnol

Mae pob ap yn agor ei soced ei hun, ac mae’r cnewyllyn yn rhoi tupl iddo o bump o elfennau: cyfeiriad ffynhonnell, porthladd ffynhonnell, cyfeiriad cyrchfan, porthladd cyrchfan a phrotocol. Mae’r tuplau hynny’n bodoli cyn i unrhyw dwnnel ddod i’r llun. Yna mae llwybro yn penderfynu bod pob un ohonynt yn gadael drwy’r ddyfais twnnel, felly mae’r pecyn a roddir i OpenVPN yn dal i gario’r penawdau gwreiddiol y tu mewn iddo. Mae OpenVPN yn amgryptio’r pecyn mewnol hwnnw ac yn lapio’r canlyniad mewn un sgwrs UDP neu TCP allanol gyda’r cymar. Felly mae’r sgwrs allanol yn un, tra bod y llifau y tu mewn iddi cynifer ag y gwnaeth yr apiau eu hagor.

Nid oes dim yn chwalu. Mae’r tuplau mewnol yn goroesi o’r dechrau i’r diwedd, a dyna pam mae’r ochr bell yn dal i allu gwahaniaethu’r tri llif.

Y porthladd sy’n aros yn sefydlog

Yr hyn sy’n aros yn gyson yw’r tupl allanol: eich cyfeiriad, y porthladd lleol a rwymodd y cleient, cyfeiriad y cymar, a’r porthladd gwasanaeth a ffurfweddwyd. Y tupl hwnnw yw’r un y mae’n rhaid i wal dân neu NAT ar y llwybr ei ganiatáu, a dyna’r un a fydd cipiad ar y cyswllt i fyny yn ei ddangos. Dyma hefyd yr un sy’n newid ar ôl ailgysylltu neu newid rhwydwaith, oherwydd efallai y bydd y cleient yn rhwymo porthladd lleol gwahanol. Nid yw un twnnel yn golygu un porthladd ffynhonnell sefydlog am byth.

Y porthladdoedd mewnol yw’r hyn sy’n bwysig i’r penawdau. Mae llif HTTPS yn cadw porthladd cyrchfan 443 y tu mewn i’r twnnel er bod y cludiant allanol yn eistedd ar ba bynnag borthladd a ffurfweddwyd gan y gweithredwr. Nid yw penawdau’r ap byth yn clywed am yr un allanol.

Beth mae dadgapsiwleiddio yn ei newid yn y pen pell

Yn y cymar mae’r haen allanol yn dod i ffwrdd, a’r pecyn mewnol yw’r hyn sy’n weddill. O hynny ymlaen mae anfon ymlaen a pholisi mynediad yn berthnasol i’r gyrchfan a’r protocol mewnol. Mae’r gweinydd gwe yn dal i dderbyn cysylltiad HTTPS, mae’r daemon SSH yn dal i dderbyn SSH, ac mae’r datryswr yn dal i dderbyn ymholiad.

Dyna pam nad yw rheol sy’n caniatáu’r cludiant allanol yr un rheol â chaniatáu gwasanaeth mewnol. Mae’r gyntaf yn disgrifio llwybr; mae’r ail yn disgrifio awdurdodiad.

TCP allanol yw un ffrwd, nid un cysylltiad

Pan fo’r cludiant allanol yn UDP, mae tynged pob llif mewnol yn annibynnol: mae datagram colled yn effeithio ar un trosglwyddiad nes ei ail-drosglwyddo ei hun. Pan fo’r cludiant allanol yn TCP, mae pob llif mewnol yn rhannu un ffrwd beit ddibynadwy.

Y ffrwd a rennir honno yw’r rhan y mae pobl yn ei cholli. Mae adferiad yn digwydd unwaith, am bopeth, felly mae un segment coll yn oedi traffig pob ap sy’n cael ei amlblethu y tu mewn. Mae’n dal i fod yn llawer o gysylltiadau wrth y penawdau ac yn un cysylltiad ar y wifren, a’r wifren yw lle mae effaith pen y llinell yn byw. Nid yw nifer y porthladdoedd gwrando yn dweud dim wrthych am hyn, a dyna pam mae cyfrif porthladdoedd yn ffordd wael o resymu am berfformiad twnnel.

Disgrifiwch eich gosodiad eich hun yn gywir

Enwch y traffig mewnol a ddewiswyd a’r cludiant allanol penodol sy’n ei gario, yn hytrach na dweud bod y peiriant yn anfon popeth drwy un porthladd. Mae gwasanaethau lleol, ail dwnnel a’r teulu cyfeiriadau arall i gyd yn creu llifau nad ydynt byth yn dod i mewn i’r sgwrs hon. Mae cipiad ar y cyswllt i fyny yn dangos y tupl allanol; mae cipiad y tu mewn i’r twnnel yn dangos y rhai mewnol.

Cymerwch y ddau, a rhowch y stampiau amser ochr yn ochr. Os oes angen i chi brofi pa ap a gynhyrchodd pa lif mewnol, tabl socedi’r gwesteiwr yw’r offeryn gorau, oherwydd mae’n mapio porthladdoedd i brosesau’n uniongyrchol. Yna nodwch y tupl allanol a arsylwyd gennych a’r foment y gwnaethoch ei arsylwi, oherwydd gall y cipiad nesaf ar ôl ailgysylltu ddangos rhifau gwahanol yn gwbl gyfreithlon.