Helpt TCP 443 echt? Allinne as de tsjinner dêr harket
In TCP-profil is in útwyk, gjin ferklaaiïng. Kontrolearje oft de tsjinner op dy poarte harket, en weagje dan de kosten fan dûbele TCP tsjin net berikber wêze.
TCP 443 is in útwyk mei in betingst, gjin ferklaaiïng dy't in tunnel by elk filter lâns glûpt. It helpt as de operator al in TCP-harker op dy poarte publisearret en it paad in ferbining ferneart dy't oeren iepen bliuwt. It mislearret, meastentiids as in tiidferrin, as ien fan beide ûntbrekt, en it tiidferrin seit selden hokker. It beslút om te wikseljen freget trije fragen, en mar ien fan har giet oer it poartnûmer.
In poartnûmer is gjin belofte fan ferfier
In poart neamt in einpunt; TCP makket dêr in oardere bytestream fan; OpenVPN beslút wat binnen dy stream reizget. In webserver op itselde nûmer brûkt in hiel oare tapassingsopset, sadat it dielen fan poarte 443 de beide foar in filter gelyk liket en net mear. It nûmer is in oanwizing dy't in filter lêst, gjin eigenskip dy't feroaret wat de pakketten befetsje. Se as itselde behannelje om't se in poart diele is de flater efter it measte betizing hjir.
Tuskenapparaten nimme selden in ienfâldich tastien-of-wegere-beslút oer in poart. In protte ûndersykje de earste bytes, guon pinne in bestimming fêst, en guon sette ferbiningen werom dy't te lang iepen bliuwe. Dêrom kin itselde profyl fan it iene netwurk wurkje en fan it oare in tiidferrin jaan, en dêrom is in útwyk it wurdich te testen as in stipe opsje ynstee fan der as in belofte op te fertrouwen. As in filter ferkear ûndersiket, is it poartnûmer mar it earste dêr't it nei sjocht.
Befêstigje de harker foardat jo it profyl oanreitsje
De tsjinner moat foar TCP op 'e poarte konfigurearre wêze, en it kliïntprofyl moat deselde ferfierfreegje. In UDP-profyl oerskriuwe om TCP te freegjen makket de harker net, en it tiidferrin dat dêrnei komt is net te ûnderskieden fan in firewall dy't de poarte weismyt. Download it eigen TCP-profyl fan 'e operator as dat bestiet, om't guon tsjinsten in apart einpunt en aparte identiteitsynstellingen foar elk ferfier publisearje. Hânmjittich bewurkje is goed foar in kontrolearre test en in minne manier om de bedoelde konfiguraasje fan in provider te rieden.
De beide kanten fan dy oerienkomst steane yn 'e konfiguraasje, en de keppelingopsjes fan it OpenVPN-projekt dokumintearje beide foarmen. It minimale pear sjocht der sa út:
# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443Trije betingsten beslisse oft de útwyk him betellet
De earste betingst is dat de operator it ferfier hielendal oanbiedt; sûnder dat docht al it oare der net ta. De twadde is dat it paad in langduorjende sesje libben hâldt, om't guon netwurken ferbiningen weromsette dy't iepen bliuwe ynstee fan 'e poarte folslein te blokkearjen. De tredde is oft de útwyk in bewuste útsûndering is of in needoplossing dy't in fout ferberget dy't jo net ferholpen hawwe.
Elke betingst hat in goedkeape kontrôle. In mislearring by ien fan har sjocht der fan 'e kliïnt itselde út:
| Condition | How to check it | What a failure decides |
|---|---|---|
| The server offers TCP | The operator's profile list, or a listening-socket check on the server | No client-side edit can help |
| The path keeps long sessions | A test connection left open for an hour | Reconnects will look like server faults |
| The fallback is deliberate | A change record naming the UDP fault | The underlying fault stays invisible |
Meitsje elke oanmelding by in captive portal klear foardat jo ferfier ferlykje. In netwurk dat jo apparaat net talitten hat blokkearret beide ferfier, en dan mjit de ferliking it portal ynstee fan 'e tunnel. Meld jo oan, befêstigje dat gewoan blêdzjen wurket, en begjin dan pas de test.
De kosten dy't jo akseptearje: TCP yn TCP
TCP stjoert ferlerne segminten opnij en behâldt har oarder. As in tapassing dy't sels TCP brûkt binnen in TCP-tunnel rint, reagearje twa werstellegers op itselde ferlies, en krekt dy ynteraksje makket de tunnel traach op in paad mei ferlies. It symptoom is fertraging en jitter ynstee fan in skjinne mislearring, wat it maklik makket de fiere kant de skuld te jaan. Mjit fan 'e kliïnt ûnder beide ferfier foardat jo in konklúzje lûke.
UDP foarkomt dat nestjen, en dat is de haadreden dat operators it ferkieze en TCP allinne as alternatyf oanbiede. In stabile TCP-ferbining is noch altyd brûkberder as in net berikbere UDP-ferbining, dus de ferliking is tusken twa echte kosten en net tusken in goede en in minne opsje. Hâld it apparaat en it tagongsnetwurk stil wylst jo ferlykje, oars beskriuwt it resultaat de ferkearde fariabele.
Guon kliïntfunksjes binne allinne foar ien ferfier dokumintearre, sadat in útwykprofyl stilwei gedrach weilitte kin dêr't jo fan ôfhinklik wiene. Lês de ferfiereask fan 'e opsje foardat jo it TCP-profyl as in gewoane ruil behannelje.
Fouten dy't in oar ferfier net oanreitsje
In ferfallen sertifikaat hat noch altyd in klokontrôle of in fernijing nedich, en in wegere akkount hat noch altyd de krekte oanmeldgegevens nedich. Behâld de tsjinner-identiteitskontrôles dy't de operator levere hat, om't in fertroud poartnûmer nimmen autentisearret. In poarte dy't antwurdet seit allinne dat der wat harket.
As de tunnel omheech komt en bestimmingen mislearje noch, is it oerbleaune probleem routing of namme-oplossing nei de ferbining, net it ferfier. Folgje dat paad ynstee fan troch poarten te draaien, want sa ferdwynt in middei. It profyl fertelt jo hokker ferfier te probearjen; it fertelt jo nea wêrom't it UDP-paad mislearre.