VPN-i pordinõuded: kolm rida, mis kirjutada enne võrdlemist
Tehke kindlaks, milline pordiküsimus teil tegelikult on: väljuv sihtkoht, sissetulev avaldamine või tunneli enda transport. Seejärel küsige pakkujalt ainult seda.
VPN-teenuste portide loendid kopeeritakse võrdluslehtede vahel ilma detailita, mis otsustab, kas neil on tähtsust: kes ühenduse algatab. Reegel, mis lubab väljuvat TCP 443, ei ütle midagi selle kohta, kas teine host pääseb teie masinas olevale kuulajale ligi. Kirjutage kolm eraldi nõuet enne, kui võrdlete ühtki plaani, ja märkige, milliseid teie ülesanne tegelikult vajab. Enamik võrdlusi taandub ühele lühikesele küsimusele, kui selline leht olemas on.
Eraldage nõue enne, kui loete ükskõik millist portide loendit
Kolm rida katavad peaaegu kõik juhtumid: tunnelist kaugemale jääva sihtkoha saavutamine, millegi avaldamine, et teised saaksid sisse ühenduda, ja tunneli enda kandmine. Iga rida ebaõnnestub erineval põhjusel ning pakkuja poliitika, mis rahuldab ühe, võib jätta teised kaks puutumata. Ülesande õigesse ritta paigutamine võtab viis minutit ja säästab hiljem vaidluse.
| Line | Who starts it | What can block it | Question for the provider |
|---|---|---|---|
| Outbound destination | Your application | Egress filter on the exit node | Is this protocol and port allowed to that destination? |
| Inbound publishing | A remote peer | No mapping, no public address, short lifetime | Which protocol, which external port, and how long does the mapping last? |
| Tunnel transport | Your client to the gateway | The access network drops that protocol | Does the client offer a fallback the local network permits? |
Turundusväited hägustavad kolme rida meelega. P2P-luba kirjeldab sihtkoha poliitikat, püsiadress kirjeldab aadressi ja väide, et portide piiranguid pole, tähendab tavaliselt, et plaan neid ei loetle. Ükski neist fraasidest ei vasta teistele.
Valige üks konkreetne voog ja kirjutage see lausena: algataja, transport, port, aadressiperekond, suund. Öine varundusklient, mis laadib üles kaugesse hosti, on ainult väljuv. Mänguserver teie töölaual, millega sõbrad liituvad, on sissetulev. Mõlema ühe tunneli kaudu käivitamine tähendab, et leht vajab mõlemat rida, mitte kompromissi nende vahel.
Väljuv juurdepääs ebaõnnestub sihtkoha poliitika, mitte tunneli tõttu
Väljuv liiklus tõlkivas lüüsis tekitab oleku. Esimene pakett sisemisest aadressist ja pordist loob tõlkekirje ning vastused sobivad sellega, mis on RFC 3022-s kirjeldatud vastendamiskäitumine. See mehhanism on põhjus, miks brauseri vahekaart tavaliselt töötab ilma ühegi pordipäringuta.
Kaks asja rikuvad seda endiselt. Väljundõlm võib filtreerida sihtkohti või pordinumbreid, mida ta peab kuritarvitatavaks, ja rakendus võib kuulata porti, mida väljundpoliitika kunagi ei oodanud. Küsige sihtkoha paari, mitte sissetulevate reeglite kohta, ja oodake TCP ja UDP jaoks erinevaid vastuseid.
Mõõtke enne, kui vaidlete. Käivitage need masinas, mis jääb tunneli taha, üks kord tunnel väljas ja üks kord sees:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://example.com
Samad käsud, sama sihtkoht, kaks tunneli olekut annavad operaatorile enne-ja-pärast võrdluse, mille põhjal tegutseda. Asendage dokumentatsiooni aadress hostiga, mida tegelikult vajate; tähtis on, et võrdlus korduks, mitte see, et mõni number mõjuks muljetavaldavalt.
Sissetulev avaldamine vajab vastendust, aadressi ja eluiga
Midagi väljastpoolt ei saa alustada ühendust teie kuulajaga, kui miski avalikul poolel ei tea, kuhu see toimetada. Operaatori hoitav staatiline pordireservatsioon, kliendi taotletud vastendus UPnP, NAT-PMP või PCP kaudu ja marsruuditud avalik aadress on kolm erinevat toodet kolme erineva piiranguga.
Esitage viis küsimust ükskõik millise kohta: milline protokoll, milline väline port, kas väline port võib kohalikust erineda, millist aadressiperekonda see katab ja kui kaua vastendus taasühenduse üle elab. Aktiivse sessiooniga seotud reservatsioon kaob, kui see sessioon lõpeb, ükskõik mida plaani leht ütleb.
Kinnitage kõigepealt kohalik pool, sest surnud kuulaja ja blokeeritud sissetulev tee näevad väljastpoolt ühesugused välja:
ss -lntup | grep -E ':(8080|51820)\b'
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
Kui kohalik päring tagastab 200 ja päring võrgust, mida te ei kontrolli, aegub endiselt, asub lünk avalikul poolel. See on hetk, mil öelda operaatorile protokoll ja väline port, selle asemel et kirjeldada rakendust nimepidi.
Tunneli enda transport on eraldi küsimus
Kandja pordid on probleemi väikseim osa ja kõige kergemini otsitav. Vaikeväärtused erinevad protokolliti ning see, mida klient suudab läbi rääkida, loeb rohkem kui ükskõik milline plaani kirjeldus.
| Client | Outer transport | Default port | When it helps |
|---|---|---|---|
| OpenVPN | UDP | 1194 | Default mode; needs outbound UDP to pass |
| OpenVPN | TCP | 443 | UDP is dropped and TCP 443 is not |
| WireGuard | UDP | 51820 | Short handshake; there is no TCP mode |
| IKEv2/IPsec | UDP | 500 and 4500 | Mobile clients; 4500 carries NAT traversal |
Võrk, mis viskab väljuva UDP kõrvale, võtab vastu TCP 443 tunneli ja keeldub UDP omast, seega kuulub varurežiim nõuete lehele. Kandja vahetamine ei liiguta rakenduse porti tunneli sees ega laienda sihtkoha poliitikat; need jäävad oma ridadele.
Fragmentatsioon väärib ühte katset, kuni te seal olete, sest tunnel, mis ühendub ja siis suurte ülekannete juures takerdub, on tavaliselt vale MTU-ga, mitte suletud pordiga:
ping -M do -s 1400 203.0.113.10 ping -M do -s 1372 203.0.113.10
Windowsis on sama katse ping -f -l 1400 203.0.113.10. Seadke tunneli MTU alla suurima suuruse, mis läbib, ja testige siis uuesti ülekanne, mis ebaõnnestus.
Kontrollige kolme rida enne, kui maksate plaani eest
Pange kolm rida ühele lehele ja täitke iga lahter mõõdetud tulemusega, mitte lubadusega. Need käsud annavad selle lehe kohaliku poole umbes minutiga:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
ping -M do -s 1400 203.0.113.10
Lugege väljundit kontrollloendina. Väljuv töötab, kui sihtkoht vastab tunnel sees. Sissetulev töötab ainult siis, kui host väljaspool teie võrku jõuab välise pordi kuulajani. Kandja töötab, kui käepigistus lõpeb protokollil, mida teie juurdepääsuvõrk lubab.
Kaks harjumust hoiavad lehe ausana. Kirjutage iga tulemuse kõrvale kuupäev ja kliendi versioon, sest nii pakkujate poliitikad kui ka kliendi vaikeväärtused liiguvad. Seejärel küsige kitsaimat vastendust, mis voogu teenindab, sest palve kõik avada teenib tavaliselt keeldumise või lisamüügi, mitte tehnilise vastuse.