Kas TCP 443 tegelikult aitab? Ainult siis, kui server seal kuulab
TCP-profiil on varuvariant, mitte maskeering. Kontrollige, kas server kuulab sellel pordil, ja kaaluge siis kahekordse TCP hinda ligipääsmatuse vastu.
TCP 443 on varuvariant, millel on eeldus, mitte maskeering, mis libistab tunnelist mööda igast filtrist. See aitab siis, kui operaator avaldab juba sellel pordil TCP-kuulaja ja tee talub ühendust, mis jääb tundideks avatuks. See ebaõnnestub, tavaliselt ajalõpuna, kui üks kahest puudub, ja ajalõpp ütleb harva, milline. Otsus vahetada nõuab kolme küsimust ja neist ainult üks puudutab pordi numbrit.
Pordinumber ei ole transpordilubadus
Port nimetab lõpp-punkti; TCP muudab selle järjestatud baidivooks; OpenVPN otsustab, mis selles voos liigub. Sama numbriga veebiserver kasutab täiesti teistsugust rakenduskorraldust, nii et ühine port 443 teeb need kaks filtri jaoks sarnaseks ega midagi enamat. Number on vihje, mida filter loeb, mitte omadus, mis muudab seda, mida paketid sisaldavad. Nende kahe pidamine samaks, kuna nad jagavad porti, on viga, mis on siinse segaduse taga.
Vahendavad seadmed teevad pordi kohta harva lihtsa luba-või-keela otsuse. Paljud uurivad esimesi baite, mõned kinnistavad sihtkoha ja mõned lähtestavad ühendusi, mis jäävad liiga kauaks avatuks. Seetõttu võib sama profiil ühest võrgust töötada ja teisest ajalõpuni jõuda, ning seetõttu tasub varuvarianti testida toetatud valikuna, mitte usaldada seda lubadusena. Kui filter liiklust uurib, on pordi number ainult esimene asi, mida ta vaatab.
Kinnitage kuulaja enne, kui profiili puutute
Server peab olema pordil TCP jaoks seadistatud ja kliendiprofiil peab küsima sama transporti. UDP-profiili ümberkirjutamine TCP küsimiseks ei loo kuulajat ja sellest tulenev ajalõpp on eristamatu tulemüürist, mis pordi maha viskab. Laadige alla operaatori enda TCP-profiil, kui see olemas on, sest mõned teenused avaldavad iga transpordi jaoks eraldi lõpp-punkti ja eraldi identiteediseaded. Käsitsi redigeerimine sobib kontrollitud testiks ja on halb viis pakkuja kavatsetud seadistuse äraarvamiseks.
Selle kokkulangevuse kaks poolt on seadistuses näha ja OpenVPN-i projekti lingivalikud dokumenteerivad mõlemad vormid. Minimaalne paar näeb välja selline:
# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443Kolm tingimust otsustavad, kas varuvariant end ära tasub
Esimene tingimus on, et operaator üldse seda transporti pakub; ilma selleta ei loe miski muu. Teine on, et tee hoiab pikaajalise sessiooni elus, kuna mõned võrgud lähtestavad ühendusi, mis jäävad avatuks, selle asemel et port täiesti blokeerida. Kolmas on, kas varuvariant on kavatsetud erand või ajutine lahendus, mis varjab riket, mida te ei parandanud.
Igal tingimusel on odav kontroll. Ebaõnnestumine ükskõik millisel neist näeb kliendi poolelt ühesugune välja:
| Condition | How to check it | What a failure decides |
|---|---|---|
| The server offers TCP | The operator's profile list, or a listening-socket check on the server | No client-side edit can help |
| The path keeps long sessions | A test connection left open for an hour | Reconnects will look like server faults |
| The fallback is deliberate | A change record naming the UDP fault | The underlying fault stays invisible |
Enne transportide võrdlemist lõpetage igasugune sisselogimine kinnipüüdvas portaalis. Võrk, mis ei ole teie seadet lubanud, blokeerib mõlemad transpordid, ja siis mõõdab võrdlus portaali, mitte tunnelit. Logige sisse, kinnitage, et tavaline sirvimine töötab, ja alles siis alustage testi.
Hind, millega nõustute: TCP TCP sees
TCP saadab kaotatud segmendid uuesti ja säilitab nende järjekorra. Kui rakendus, mis kasutab samuti TCP-d, töötab TCP-tunneli sees, reageerivad kaks taastamiskihiti samale kaotusele ja just see koostoime teeb tunneli kao korral aeglaseks. Sümptom on viivitus ja jitter, mitte puhas rike, mis teeb kaugema otsa süüdistamise lihtsaks. Mõõtke kliendi poolelt mõlema transpordi korral enne järelduse tegemist.
UDP väldib seda pesastamist ja see on peamine põhjus, miks operaatorid eelistavad seda ning pakuvad TCP-d ainult alternatiivina. Stabiilne TCP-ühendus on siiski kasulikum kui kättesaamatu UDP-ühendus, nii et võrdlus on kahe tõelise kulu vahel, mitte hea ja halva valiku vahel. Hoidke seade ja juurdepääsuvõrk võrdlemise ajal muutumatuna, muidu kirjeldab tulemus vale muutujat.
Mõned kliendi funktsioonid on dokumenteeritud ainult ühe transpordi jaoks, nii et varuprofiil võib vaikselt kaotada käitumise, millest te sõltusite. Lugege valiku transpordinõuet enne, kui käsitlete TCP-profiili lihtsa vahetusena.
Riked, mida teine transport ei puuduta
Aegunud sertifikaat vajab endiselt kella kontrolli või uuendamist ja tagasilükatud konto vajab endiselt õigeid volitusi. Hoidke operaatori antud serveri identiteedi kontrolle, sest tuttav pordinumber ei autenti kedagi. Port, mis vastab, ütleb ainult, et miski kuulab.
Kui tunnel tõuseb ja sihtkohad ikka ei tööta, on ülejäänud probleem marsruutimine või nimelahendus pärast ühendust, mitte transport. Järgige seda teed selle asemel, et portidest ringi käia, sest nii kaob üks pärastlõuna. Profiil ütleb, millist transporti proovida; see ei ütle kunagi, miks UDP tee ebaõnnestus.