UDP ez da beti azkarragoa: OpenVPN-ren garraioa aukeratzen

Gida guztiek diote UDP-k TCP gainditzen duela OpenVPN-rako, eta aholku hori balio lehenetsia da, ez neurketa. Garraioak aldatzen du paketeak nola entregatzen diren eta bidea haiek galtzean zer gertatzen den, ez tunela nola zifratzen den. Captive portal baten edo 443 portua soilik uzten duen proxy baten atzean, aukera motelena da batere konektatzen dena. Hurrengoak protokoloak egiten duena zure sarbide-sareak uzten duenetik bereizten du.

Zer aldatzen duen garraioak benetan

TCP-k byte-korronte fidagarri eta ordenatua ematen du eta galdutako guztia berriz bidaltzen du, RFC 9293 arauak dioen bezala. UDP-k datagramak saretik pasatzen ditu, eta OpenVPN-k socket horren gainean bere fidagarritasun-geruza propioa exekutatzen du. TCP TCP barruan kapsulatzeak bi berreskuratze-begizta pilatzen ditu, beraz galdutako segmentu batek barruko korrontea eutsi dezake kanpoko berbidalketa iritsi arte. Elkarreragin hori da UDP-ren benetako argudioa, eta latentzia gisa agertzen da, ez emari gisa.

Efektua galerarekin eta joan-etorriko denborarekin handitzen da. Bide lokal garbi batean bi garraioak berdin sentitzen dira, eta horregatik laborategiko proba batek gutxitan erreproduzitzen du kexa. Mugikorreko esteka kongestionatu batean aldea saio interaktiboetan agertzen da transferentzia handi batek ezer nabaritu baino askoz lehenago.

Horietako ezerk ez dio konfidentzialtasunari edo osotasunari ukitzen. TLS esku-ematea eta datu-kanalaren zifratzea berak dira bi garraioentzat, beraz aldaketak ezin du zifratze-multzo ahula salbatu.

Non irabazten duen TCP-k bere lekua

Sarbide-sareak dira TCP aukeratzeko ohiko arrazoia. Hotel, aireportu edo gonbidatu-sare batek irteerako 443 onar dezake eta gainerako guztia baztertu, eta portu horretako TCP entzulea da funtzionatzen duen profil bakarra. Hori irisgarritasuna da, ez errendimendua, eta berez nahikoa arrazoi ona da.

TCP-k laguntzen du bidea egonkorra denean baina tarteko gailuak etsaiak direnean. Sare batzuek UDP fluxu luzeak berrezartzen dituzte, web trafiko arruntaren antza duten TCP saioak onartzen dituzten bitartean. Antzekotasun horrek arrakasta ote duen sare zehatzaren ezaugarria da, eta inolako gidak ezin du denentzat bermatu. Probatu huts egiten duen sarearen barruan protokoloa erruduntzat jo aurretik.

Baztertutako saio-hasiera ez da garraio-arazo bat. Ziurtagiria egiaztatzea desgaitzea konexioa behartzeko beste aldaketa bat da, askoz emaitza okerragoarekin.

TCP profila prest edukitzea da konpromiso praktikoa. Bezero gehienek biak gordetzen dituzte eta sareak UDP bidea ukatzen duenean aldatzeko aukera ematen dute, eta horrek ez du ezer kostatzen behar duzun arte. Egin behar ez duzuna bi profil amaiera-puntu desberdinetara bideratuta bidaltzea da, orduan zure konparazioak zerbitzariak neurtzen baititu.

Egiaztatu zein entzule duzun benetan

Errendimendua konparatu aurretik, egiaztatu bi muturrak ados daudela garraioan eta portuan. proto udp proto tcp-ra aldatzeak bezero-fitxategi batean ez du zerbitzariko entzulerik sortzen. Zerbitzaria protokolo horretarako konfiguratuta egon behar da, eta profilak bat etorri behar du.

grep -E '^(proto|port|remote)' /etc/openvpn/server.conf
ss -lunp | grep openvpn
ss -ltnp | grep openvpn

grep-ek zerbitzariari erabiltzeko esan zitzaiona inprimatzen du, eta bi socket zerrendek zeri lotuta dagoen erakusten dute. UDP entzulea lehen zerrendan soilik agertzen da eta TCP entzulea bigarrenean soilik, beraz falta den lerroa inoiz aplikatu gabeko profila aurkitzeko modurik azkarrena da. Konparatu portua ere, 1194ko TCP profila 443koaren desberdin jokatzen baitu sarbide-sare gehienetan. Aldaketaren ondoren berrabiarazi zerbitzua eta irakurri lotura jakinarazten duen erregistro-lerroa.

Bezeroaren aldeko egiaztapena merkea da: exekutatu konexioa --verb 4-rekin eta irakurri garraio-lerroa erregistroan. Bezeroak UDP esaten badu zerbitzaria TCP entzuten duen bitartean, esku-ematea ez da inoiz hasten eta ez du doikuntzak lagunduko.

Konparatu lan-karga, ez garraioaren etiketa

Konparazio justuak garraioa ez beste guztia konstante mantentzen du. Gailu bera, sarbide-sare bera, helmugako host bera, aplikazio bera eta, idealki, zerbitzari bera. Bi profilek host desberdinak seinalatzen badituzte, host horiek ere neurtzen ari zara.

Erregistratu hiru emaitza exekuzio bakoitzeko: tunela ezartzen den, zutik mantentzen den eta zeregina osatzen den. Transferentzia handiak trabatzen diren bitartean funtzionatzen duten eskaera txikiek paketearen tamaina eta MTU seinalatzen dituzte, ez garraioa. Birritan konektatzeek bidea edo tarteko gailu baten denbora-muga seinalatzen dute.

Mantendu benetan aurkitzen dituzun baldintzetan funtzionatzen duen profila, eta gorde bestea. Aukera sarearena da, ez pertsonarena, eta horregatik erantzun lehenetsi bakarra oker dago nonbait.