Requisitos de portos para VPN: tres liñas que escribir antes de comparar
Averigua que pregunta de portos tes en realidade: destino de saída, publicación de entrada ou o transporte propio do túnel. Despois pregúntalle ao provedor só iso.
As listas de portos dos servizos VPN cópianse entre páxinas de comparación sen o detalle que decide se importan: quen inicia a conexión. Unha regra que permite TCP 443 de saída non di nada sobre se outro host pode alcanzar un escoitante na túa máquina. Escribe tres requisitos separados antes de comparar un só plan, e marca cales necesita realmente a túa tarefa. A maioría das comparacións redúcense a unha soa pregunta curta cando existe esa folla.
Separa o requisito antes de ler calquera lista de portos
Tres liñas cobren case todos os casos: alcanzar un destino máis aló do túnel, publicar algo para que outros poidan conectar cara a dentro, e transportar o túnel mesmo. Cada liña falla por un motivo distinto, e unha política de provedor que satisface unha pode deixar as outras dúas intactas. Ordenar a túa tarefa na liña correcta leva cinco minutos e aforra unha discusión despois.
| Line | Who starts it | What can block it | Question for the provider |
|---|---|---|---|
| Outbound destination | Your application | Egress filter on the exit node | Is this protocol and port allowed to that destination? |
| Inbound publishing | A remote peer | No mapping, no public address, short lifetime | Which protocol, which external port, and how long does the mapping last? |
| Tunnel transport | Your client to the gateway | The access network drops that protocol | Does the client offer a fallback the local network permits? |
As declaracións de marketing difuminan as tres liñas a propósito. Un permiso P2P describe unha política de destino, un enderezo dedicado describe un enderezo, e a afirmación de que non hai restricións de portos adoita significar que o plan non as enumera. Ningunha desas frases responde ás demais.
Escolle un fluxo concreto e escríbeo como unha frase: iniciador, transporte, porto, familia de enderezos, dirección. Un cliente de copias nocturno que sobe a un host remoto é só de saída. Un servidor de xogos no teu escritorio ao que se unen amigos é de entrada. Executar ambos por un só túnel significa que a folla necesita as dúas liñas, non un compromiso entre elas.
O acceso de saída falla pola política de destino, non polo túnel
O tráfico de saída a través dunha pasarela que traduce crea estado. O primeiro paquete dun enderezo e un porto internos constrúe unha entrada de tradución, e as respostas coinciden con ela, que é o comportamento de mapeo descrito en RFC 3022. Ese mecanismo é a razón pola que unha lapela do navegador adoita funcionar sen ningunha petición de porto.
Dúas cousas aínda o rompen. O nodo de saída pode filtrar destinos ou números de porto que considera abusivos, e a aplicación pode estar escoitando nun porto que a política de saída nunca esperou. Pregunta polo par de destino en lugar de polas regras de entrada, e espera respostas distintas para TCP e UDP.
Mide antes de discutir. Executa isto na máquina que estará detrás do túnel, unha vez co túnel apagado e outra con el aceso:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://example.com
Os mesmos comandos, o mesmo destino, dous estados do túnel, dan a un operador unha comparación antes e despois sobre a que pode actuar. Substitúe o enderezo de documentación polo host que realmente necesitas; o que importa é que a comparación se repita, non que algún número pareza impresionante.
A publicación de entrada necesita un mapeo, un enderezo e unha duración
Nada de fóra pode iniciar unha conexión cara ao teu escoitante a non ser que algo no lado público saiba onde entregala. Unha reserva de porto estática que mantén o operador, un mapeo solicitado polo cliente mediante UPnP, NAT-PMP ou PCP, e un enderezo público encamiñado son tres produtos distintos con tres límites distintos.
Fai cinco preguntas a calquera deles: que protocolo, que porto externo, se o porto externo pode diferir do local, que familia de enderezos cobre e canto sobrevive o mapeo a unha reconexión. Unha reserva ligada a unha sesión activa desaparece cando esa sesión remata, diga o que diga a páxina do plan.
Confirma primeiro a metade local, porque un escoitante morto e un camiño de entrada bloqueado vense iguais desde fóra:
ss -lntup | grep -E ':(8080|51820)\b'
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
Cando a petición local devolve 200 e unha petición desde unha rede que non controlas aínda expira, a fenda está no lado público. Ese é o momento de dicirlle ao operador o protocolo e o porto externo en lugar de describir a aplicación polo seu nome.
O transporte propio do túnel é unha pregunta aparte
Os portos do portador son a parte máis pequena do problema e a máis fácil de consultar. Os valores por defecto varían segundo o protocolo, e o que o cliente pode negociar importa máis que calquera descrición do plan.
| Client | Outer transport | Default port | When it helps |
|---|---|---|---|
| OpenVPN | UDP | 1194 | Default mode; needs outbound UDP to pass |
| OpenVPN | TCP | 443 | UDP is dropped and TCP 443 is not |
| WireGuard | UDP | 51820 | Short handshake; there is no TCP mode |
| IKEv2/IPsec | UDP | 500 and 4500 | Mobile clients; 4500 carries NAT traversal |
Unha rede que descarta UDP de saída aceptará un túnel TCP 443 e rexeitará un de UDP, así que un modo alternativo pertence á folla de requisitos. Cambiar o portador non move un porto de aplicación dentro do túnel nin amplía unha política de destino; eses quedan nas súas propias liñas.
A fragmentación merece unha sonda mentres estás alí, porque un túnel que se conecta e logo se atasca en transferencias grandes adoita ter un MTU incorrecto máis que un porto pechado:
ping -M do -s 1400 203.0.113.10 ping -M do -s 1372 203.0.113.10
En Windows a mesma sonda é ping -f -l 1400 203.0.113.10. Fixa o MTU do túnel por baixo do tamaño maior que pasa, e despois volve probar a transferencia que fallou.
Verifica as tres liñas antes de pagar un plan
Pon as tres liñas nunha páxina e enche cada cela cun resultado medido en lugar dunha promesa. Estes comandos producen a metade local desa páxina nun minuto aproximadamente:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
ping -M do -s 1400 203.0.113.10
Le a saída como unha lista de comprobación. A saída funciona cando o destino responde co túnel activo. A entrada só funciona cando un host fóra da túa rede alcanza o escoitante no porto externo. O portador funciona cando o apretón de mans se completa nun protocolo que a túa rede de acceso permite.
Dous hábitos manteñen a folla honesta. Anota a data e a versión do cliente xunto a cada resultado, porque tanto as políticas do provedor como os valores por defecto do cliente se moven. Despois pide o mapeo máis estreito que sirva ao fluxo, porque unha petición de abrir todo adoita acadar un rexeitamento ou unha venda adicional en lugar dunha resposta técnica.