Zergatik aplikazio-konexio askok OpenVPN saio bakarra partekatzen dute
Kanpoko UDP elkarrizketa bakar batek biderbideek bertara bidaltzen dituzten barne-fluxu guztiak eramaten ditu. Barne-portuak eta protokoloak mantendu egiten dira; kanpoko tupla baino ez da finko geratzen.
Imajinatu nabigatzaile bat HTTPS orrialde bat kargatzen ari dena, SSH bezero bat beste zerbitzari batera iristen den bitartean eta ebazle bat kontsulta bati erantzuten, dena OpenVPN saio bakar baten bidez. Interfaze fisikoan elkarrizketa bat ikusten duzu; tuneleko barruan hiru. Bi ikuspegiak zuzenak dira, eta zergatia jakitea harrapaketa erabilgarri baten eta nahasgarri baten arteko aldea da. Jarraitu barne-fluxu bat socketetik harirara arte eta geruzatzea abstraktua izateari uzten dio.
Kanpoko elkarrizketa bat, barne-fluxu asko
Aplikazio bakoitzak bere socketa irekitzen du, eta kernelak bost elementuko tupla bat ematen dio: iturburu-helbidea, iturburu-portua, helburu-helbidea, helburu-portua eta protokoloa. Tupla horiek edozein tunel sartu aurretik existitzen dira. Gero bideratzeak erabakitzen du denak tunel-gailutik irteten direla, beraz OpenVPN-ri emandako paketeak jatorrizko goiburuak daramatza oraindik barruan. OpenVPNek barne-pakete hori zifratzen du eta emaitza parekoarekin kanpoko UDP edo TCP elkarrizketa bakarrean bilduko du. Kanpoko elkarrizketa, beraz, bakarra da, eta barruko fluxuak aplikazioek ireki dituzten beste dira.
Ezer ez da erortzen. Barne-tuplek muturretik muturrera bizirauten dute, eta horregatik urruneko aldeak oraindik hiru fluxuak bereizten ditu.
Finko geratzen den portua
Konstante mantentzen dena kanpoko tupla da: zure helbidea, bezeroak lotu zuen tokiko portua, parekoaren helbidea eta konfiguratutako zerbitzu-portua. Tupla hori da bidean dagoen su-hesi edo NAT batek baimendu behar duena, eta hori da goranzko loturan egindako harrapaketa batek erakutsiko duena. Hori da, halaber, berriz konektatu edo sarez aldatu ondoren aldatzen dena, bezeroak beste tokiko portu bat lotu baitezake. Tunel batek ez du esan nahi iturburu-portu finko bat betiko.
Barne-portuak dira muturrek axola dutena. HTTPS fluxu batek 443 helburu-portua gordetzen du tuneleko barruan, kanpoko garraioak operadoreak konfiguratutako portuan eserita egon arren. Aplikazioaren muturrek ez dute inoiz kanpokoa ezagutzen.
Zer aldatzen du deskapsulatzeak urruneko muturrean
Parekoan kanpoko geruza kentzen da, eta barne-paketea da geratzen dena. Hortik aurrera, birbidaltzea eta sarbide-politika barne-helburuari eta protokoloari aplikatzen zaizkie. Web zerbitzariak HTTPS konexio bat jasotzen jarraitzen du, SSH daemonak SSH jasotzen jarraitzen du, eta ebazleak kontsulta bat jasotzen jarraitzen du.
Horregatik, kanpoko garraioa baimentzen duen araua ez da zerbitzu interno bat baimentzearen arau bera. Lehenak bide bat deskribatzen du; bigarrenak baimena deskribatzen du.
Kanpoko TCPak fluxu bat esan nahi du, ez konexio bat
Kanpoko garraioa UDP denean, barne-fluxu bakoitzaren patua independentea da: galdutako datagrama batek transferentzia bat ukitzen du bere berbidalketa propiora arte. Kanpoko garraioa TCP denean, barne-fluxu guztiek byte-fluxu fidagarri bakarra partekatzen dute.
Partekatutako fluxu hori da jendeak oharkabean uzten duen zatia. Berreskuratzea behin gertatzen da, denarentzat, beraz galdutako segmentu bakar batek barruan multiplexatutako aplikazio bakoitzaren trafikoa atzeratzen du. Oraindik konexio asko dira muturretan eta konexio bakarra harian, eta harian bizi da ilararen buruaren efektua. Entzuten ari diren portuen kopuruak ez dizu horri buruz ezer esaten, eta horregatik portuak zenbatzea tunelaren errendimenduari buruz arrazoitzeko modu txarra da.
Deskribatu zure konfigurazioa zehaztasunez
Izenda itzazu hautatutako barne-trafikoa eta hura daraman kanpoko garraio zehatza, makinak dena portu bakarrean bidaltzen duela esan beharrean. Tokiko zerbitzuek, bigarren tunel batek eta beste helbide-familia batek elkarrizketa honetara inoiz sartzen ez diren fluxuak sortzen dituzte. Goranzko loturako harrapaketak kanpoko tupla erakusten du; tuneleko barruko harrapaketak barnekoak.
Hartu biak eta ipini denboragailuak elkarren ondoan. Aplikazio bakoitzak zein barne-fluxu sortu zuen frogatu behar baduzu, ostalariaren socket-taula da tresnarik onena, portuak prozesuekin zuzenean lotzen baititu. Ondoren idatz itzazu behatu zenuen kanpoko tupla eta behatu zenuen unua, berriz konektatu ondorengo hurrengo harrapaketak legitimoki beste zenbaki batzuk erakuts ditzakeelako.