Kial multaj aplikaĵaj konektoj kunhavas unu OpenVPN seancon

Imagu retumilon ŝarĝantan HTTPS-paĝon dum SSH-kliento atingas alian servilon kaj solvilo respondas al demando, ĉio tra unu OpenVPN seanco. Sur la fizika interfaco vi vidas unu interparolon; ene de la tunelo vi vidas tri. Ambaŭ vidpunktoj estas ĝustaj, kaj scii kial estas la diferenco inter utila kaptaĵo kaj konfuza. Sekvu unu internan fluon de la ingo ĝis la drato, kaj la tavoligo ĉesas esti abstrakta.

Unu ekstera interparolo, multaj internaj fluoj

Ĉiu aplikaĵo malfermas sian propran ingon, kaj la kerno donas al ĝi kvinopon el fonta adreso, fonta pordo, cela adreso, cela pordo kaj protokolo. Tiuj kvinopoj ekzistas antaŭ ol iu ajn tunelo enmiksiĝas. Poste la itinerado decidas, ke ĉiuj el ili eliras tra la tunela aparato, do la pakaĵo transdonita al OpenVPN ankoraŭ portas la originajn kapojn ene. OpenVPN ĉifras tiun internan pakaĵon kaj volvas la rezulton en unu eksteran UDP- aŭ TCP-interparolon kun la samtavolano. La ekstera interparolo do estas unu, dum la fluoj ene de ĝi estas tiom multaj, kiom la aplikaĵoj malfermis.

Nenio kolapsas. La internaj kvinopoj pluvivas de fino al fino, kaj tial la fora flanko ankoraŭ povas distingi la tri fluojn.

La pordo, kiu restas fiksa

Konstanta restas la ekstera kvinopo: via adreso, la loka pordo, kiun la kliento ligis, la adreso de la samtavolano kaj la agordita serva pordo. Ĝuste tiun kvinopon fajroŝirmilo aŭ NAT sur la vojo devas permesi, kaj ĝuste ĝin montros kaptaĵo sur la suprenligo. Ĝi ankaŭ estas tiu, kiu ŝanĝiĝas post rekonekto aŭ retoŝanĝo, ĉar la kliento povas ligi alian lokan pordon. Unu tunelo ne implicas unu fiksan fontan pordon por ĉiam.

La internaj pordoj estas tio, pri kio zorgas la finpunktoj. HTTPS-fluo konservas celan pordon 443 ene de la tunelo, kvankam la ekstera transporto sidas sur kiu ajn pordo la funkciigisto agordis. La aplikaĵaj finpunktoj neniam ekscias pri la ekstera.

Kion malenkapsuligo ŝanĝas ĉe la fora fino

Ĉe la samtavolano la ekstera tavolo foriĝas, kaj la interna pakaĵo estas tio, kio restas. De tie la plusendado kaj alirpolitiko aplikiĝas al la interna celo kaj protokolo. La retservilo ankoraŭ ricevas HTTPS-konekton, la SSH-demonano ankoraŭ ricevas SSH, kaj la solvilo ankoraŭ ricevas demandon.

Tial regulo permesanta la eksteran transporton ne estas la sama regulo kiel permesi internan servon. La unua priskribas vojon; la dua priskribas rajtigon.

Ekstera TCP signifas unu fluon, ne unu konekton

Kiam la ekstera transporto estas UDP, la sorto de ĉiu interna fluo estas sendependa: perdita datagramo efikas al unu transdono ĝis sia propra resendo. Kiam la ekstera transporto estas TCP, ĉiuj internaj fluoj kunhavas unu fidindan bajtan fluon.

Tiu kunhava fluo estas la parto, kiun homoj maltrafas. Resaniĝo okazas unufoje, por ĉio, do unu perdita segmento prokrastas trafikon de ĉiu aplikaĵo multopleksita ene. Ĝi ankoraŭ estas multaj konektoj ĉe la finpunktoj kaj unu konekto sur la drato, kaj sur la drato loĝas la efiko de la kapo de la vico. La nombro de aŭskultantaj pordoj diras al vi nenion pri tio, kaj tial nombri pordojn estas malbona maniero rezoni pri tunela rendimento.

Priskribu vian propran agordon precize

Nomu la elektitan internan trafikon kaj la konkretan eksteran transporton portantan ĝin, anstataŭ diri, ke la maŝino sendas ĉion tra unu pordo. Lokaj servoj, dua tunelo kaj la alia adresfamilio ĉiuj kreas fluojn, kiuj neniam eniras ĉi tiun interparolon. Kaptaĵo sur la suprenligo montras la eksteran kvinopon; kaptaĵo ene de la tunelo montras la internajn.

Prenu ambaŭ, kaj metu la tempomarkojn unu apud la alia. Se vi devas pruvi, kiun internan fluon iu aplikaĵo kaŭzis, la inga tabelo sur la gastiganto estas la pli bona instrumento, ĉar ĝi rekte mapas pordojn al procezoj. Poste skribu la eksteran kvinopon, kiun vi observis, kaj la momenton, kiam vi observis ĝin, ĉar la sekva kaptaĵo post rekonekto povas laŭlegitime montri aliajn nombrojn.