Pomaže li TCP 443 zaista? Samo ako server tamo sluša
TCP profil je rezerva, a ne maska. Provjerite da server sluša na tom portu, pa odvagnite cijenu dvostrukog TCP-a naspram nedostupnosti.
TCP 443 je rezerva s preduvjetom, a ne maska koja tunel provlači kroz svaki filter. Pomaže kada operater već objavljuje TCP slušač na tom portu i kada put podnosi vezu koja ostaje otvorena satima. Ne uspijeva, obično kao istek vremena, kada jedno od toga dvoje nedostaje, a istek vremena rijetko kaže koje. Odluka o prelasku traži tri pitanja, a samo se jedno od njih tiče broja porta.
Broj porta nije obećanje transporta
Port imenuje odredišnu točku; TCP od nje pravi uređeni tok bajtova; OpenVPN odlučuje šta putuje unutar tog toka. Web server na istom broju koristi potpuno drugačiji raspored aplikacije, pa zajednički port 443 čini njih dvoje sličnim za filter i ništa više. Broj je nagovještaj koji filter čita, a ne svojstvo koje mijenja ono što paketi sadrže. Tretirati njih dvoje kao isto zato što dijele port greška je koja stoji za većinom zbrke ovdje.
Posredni uređaji rijetko donose jednostavnu odluku dopusti ili zabrani o nekom portu. Mnogi pregledaju prve bajtove, neki fiksiraju odredište, a neki resetuju veze koje ostaju otvorene predugo. Zato isti profil može raditi iz jedne mreže i isteći iz druge, i zato rezervu vrijedi testirati kao podržanu opciju, a ne vjerovati joj kao obećanju. Kada filter pregleda saobraćaj, broj porta je samo prvo u šta gleda.
Potvrdite slušač prije nego dirate profil
Server mora biti konfigurisan za TCP na tom portu, a klijentski profil mora tražiti isti transport. Prepisivanje UDP profila da traži TCP ne stvara slušač, a nastali istek vremena ne razlikuje se od vatrozida koji odbacuje port. Preuzmite operaterov vlastiti TCP profil kada postoji, jer neke usluge objavljuju zasebnu odredišnu točku i zasebne postavke identiteta za svaki transport. Ručno uređivanje dobro je za kontrolisani test i loš način da pogađate namjeravanu konfiguraciju provajdera.
Dvije strane tog podudaranja vide se u konfiguraciji, a opcije veze projekta OpenVPN dokumentuju oba oblika. Minimalni par izgleda ovako:
# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443Tri uslova odlučuju da li se rezerva isplati
Prvi uslov je da operater uopšte nudi transport; bez toga ništa drugo nije važno. Drugi je da put održava dugotrajnu sesiju, jer neke mreže resetuju veze koje ostaju otvorene umjesto da port potpuno blokiraju. Treći je da li je rezerva namjerna iznimka ili zaobilazno rješenje koje skriva kvar koji niste popravili.
Svaki uslov ima jeftinu provjeru. Neuspjeh na bilo kojem od njih izgleda isto sa strane klijenta:
| Condition | How to check it | What a failure decides |
|---|---|---|
| The server offers TCP | The operator's profile list, or a listening-socket check on the server | No client-side edit can help |
| The path keeps long sessions | A test connection left open for an hour | Reconnects will look like server faults |
| The fallback is deliberate | A change record naming the UDP fault | The underlying fault stays invisible |
Prije nego uporedite transport, završite svaku prijavu na captive portal. Mreža koja nije pustila vaš uređaj blokira oba transporta, a poređenje tada mjeri portal, a ne tunel. Prijavite se, potvrdite da obično pregledanje radi i tek onda počnite test.
Cijena koju prihvatate: TCP unutar TCP-a
TCP ponovo šalje izgubljene segmente i čuva njihov redoslijed. Kada aplikacija koja i sama koristi TCP radi unutar TCP tunela, dva sloja za oporavak reaguju na isti gubitak, a ta interakcija čini da tunel izgleda spor na putu s gubicima. Simptom je kašnjenje i podrhtavanje, a ne čist neuspjeh, što olakšava krivnju na daleki kraj. Mjerite sa strane klijenta pod oba transporta prije nego zaključite.
UDP izbjegava to ugnježđivanje, i to je glavni razlog zašto ga operateri preferiraju i nude TCP samo kao alternativu. Stabilna TCP veza ipak je korisnija od nedostupne UDP veze, pa je poređenje između dvije stvarne cijene, a ne između dobre i loše opcije. Držite uređaj i pristupnu mrežu nepromijenjenima dok poredite, inače rezultat opisuje pogrešnu varijablu.
Neke klijentske funkcije dokumentovane su samo za jedan transport, pa rezervni profil može tiho ispustiti ponašanje na koje ste se oslanjali. Pročitajte zahtjev opcije za transport prije nego TCP profil tretirate kao običnu zamjenu.
Kvarovi koje drugi transport ne dira
Istekli sertifikat i dalje traži provjeru sata ili obnovu, a odbijeni račun i dalje traži ispravne vjerodajnice. Zadržite provjere identiteta servera koje je operater dao, jer poznat broj porta nikoga ne autentifikuje. Port koji odgovara kaže samo da nešto sluša.
Ako se tunel podigne, a odredišta i dalje ne rade, preostali problem je usmjeravanje ili razrješavanje imena nakon veze, a ne transport. Slijedite taj put umjesto da kružite kroz portove, jer tako nestane jedno poslijepodne. Profil vam kaže koji transport isprobati; nikada vam ne kaže zašto je UDP put zakazao.