Արդյո՞ք ISP-ն է արգելափակում UDP-ն, թե՞ թունելի ներսում գտնվող հավելվածը։

Ինչ-որ մեկը հայտնում է, որ VPN-ը «արգելափակում է UDP-ն», և այս արտահայտությունը թաքցնում է երկու բոլորովին տարբեր պնդում։ Մեկը վերաբերում է այն տրանսպորտին, որը տեսնում է մուտքի ցանցը, մյուսը՝ հավելվածի փաթեթներին այն բանից հետո, երբ դրանք վերծանվել են թունելի ներսում։ Գաղտնագրված թունելը կարելի է զտել դրսից առանց որևէ բանալու, և ներքին UDP հավելվածը կարող է ձախողվել պատճառներով, որոնք ոչ մի կապ չունեն զտման հետ։ Որոշեք, թե որ պնդումն եք ստուգում, նախքան ապացույցներ հավաքելը։

Երկու վերնագիր, մեկ բառ

NAT-traversal-ով IPsec տեղակայման մեջ արտաքին փաթեթը UDP է՝ հասցեագրված VPN-ի երկու վերջնակետերի միջև, սովորաբար 4500 պորտում։ Դրա ներսում գաղտնագրված բեռը կրում է այն ամենը, ինչ փոխանցում է թունելը, և դա ինքնին կարող է լինել TCP կամ UDP։ Այսպիսով՝ UDP բառը հայտնվում է երկու անգամ՝ տարբեր իմաստով և տարբեր տեսանելիությամբ։

Միջանկյալ ցանցը տեսնում է արտաքին վերնագիրը և ոչինչ ներքինից։ Այն կարող է թույլատրել, ձևավորել կամ դեն նետել արտաքին հոսքը, և դրա համար որևէ բան վերծանելու կարիք չունի։ Հենց այդ անհամաչափությունն է երկու պնդումների շփոթության ամբողջ պատճառը․ նույն բառը նկարագրում է և՛ այն, ինչ զտում է ցանցը, և՛ այն, ինչ ուղարկում է հավելվածը։ Երբ հայտնաբերում եք արձանագրում, բառի կողքին գրեք շերտը, և շփոթությունը հիմնականում անհետանում է։

Ներքին վերնագիրը տեսանելի է դառնում միայն ստացող վերջնակետում՝ վերծանումից հետո։ Այդ պահից փաթեթը փոխանցվում է ինչպես ցանկացած այլ փաթեթ՝ ենթարկվելով երթուղիներին, քաղաքականությանը և վերջնակետի սեփական զտմանը։ Դրանք առանձին որոշումներ են, որ կայացնում են տարբեր սարքեր։

Ինչ դեռ կարող է տեսնել ցանցը

Գաղտնագրումը թաքցնում է բեռը և ներքին տրանսպորտային վերնագիրը, ոչ թե այն փաստը, որ հոսք գոյություն ունի։ Վերջնակետերի հասցեները, պորտերը, փաթեթների չափերը և ժամանակը մնում են տեսանելի, և դա բավարար է երթևեկությունը էվրիստիկորեն դասակարգելու կամ որոշակի նպատակակետ արգելափակելու համար։

sudo tcpdump -ni eth0 'udp port 4500'
sudo tcpdump -ni tun0 'udp port 5201'

Առաջին գրառումը ցույց է տալիս արտաքին հոսքը ֆիզիկական միջերեսի վրա, իսկ երկրորդը՝ ներքին հոսքը թունելի միջերեսի վրա։ Երկուսը միաժամանակ գործարկելը ուղղակիորեն պատասխանում է հարցին․ եթե արտաքին հոսքը կա, իսկ ներքինը՝ ոչ, ապա հավելվածը երբեք ոչինչ չի ուղարկել թունել։ Եթե երկուսն էլ կան, և ոչինչ չի վերադառնում, խնդիրը թունելից այն կողմ է՝ նպատակակետում կամ վերադարձի ուղու վրա։

RFC 3948 սահմանում է արտաքին UDP ինկապսուլյացիան, իսկ ESP բնութագիրը սահմանում է դրա ներսում պաշտպանված դասավորությունը։ Փաստաթղթերից ոչ մեկը չի խոստանում, որ մուտքի ցանցը կանցկացնի արտաքին հոսքը, ուստի արժե արտաքին քառյակի վրա հասանելիության ստուգում կատարել նախքան ներքինի մասին ցանկացած տեսություն։ Արգելափակված արտաքին քառյակը ստեղծում է թունել, որը երբեք չի ձևավորվում, այլ ոչ թե թունել, որը ձևավորվում և հետո կորցնում է մեկ հավելված։

Ինչու է մեկ UDP հավելված ձախողվում աշխատող թունելի ներսում

Թունելը, որը կրում է վեբ հավելված, բայց ոչ UDP հավելված, ունի մի քանի հավանական բացատրություն, և ISP-ի կողմից ներքին արձանագրության զտումը առաջինը չէ։ Ամենատարածվածը ծածկույթն է․ երկու հավելվածները միասին չեն մտնում նույն թունել, որովհետև UDP նպատակակետի երթուղին բացակայում է, կամ հաճախորդի բաժանված թունելի կանոնները բացառում են այն։

Երկրորդը վերջնակետն է։ VPN սերվերը, որը թույլատրում է արձանագրությունների ցանկ, նպատակակետի հրապարակապատը կամ ծառայություն, որը երբեք չի լսում սպասվող պորտում, բոլորը կառաջացնեն ժամանակի սպառում, որը նույն տեսքն ունի, ինչ ցանցային արգելափակումը։

Երրորդը փաթեթի չափն է։ UDP հավելվածները հաճախ ավելի մեծ դատագրամներ են ուղարկում, քան վեբ հարցումը, և ինկապսուլյացիան նվազեցնում է օգտագործելի MTU-ն, ուստի հաջող ձեռքսեղմումից հետո կարող է լռություն լինել առաջին լրիվ չափի բեռի վրա։ Այս օրինաչափությունը հեշտ է սխալ կարդալ որպես արգելափակում, որովհետև փոքր փաթեթներն անցնում են, իսկ մեծերը՝ անհետանում։ Արագ MTU ստուգումը լուծում է հարցը մեկ րոպեից պակաս ժամանակում, և պատասխանը սովորաբար ավելի փոքր բեռ կամ ուղղված MSS է, այլ ոչ թե ցանցային զտիչ։

ping -M do -s 1400 -c 2 10.60.0.20
iperf3 -u -c 10.60.0.20 -p 5201 -b 1M -t 5

Առաջին հրամանը ստուգում է, թե արդյոք մեծ փաթեթը հաղթահարում է ուղին՝ բեկորավորումն անջատված, ինչը արագ բացահայտում է MTU խնդիրը։ Երկրորդը ուղարկում է փոքր, սահմանափակ UDP հոսք և հաղորդում կորուստների ու ջիտերի մասին։ Հոսքը, որը սկսվում և հետո կանգ է առնում, մատնանշում է չափը, այլ ոչ թե արգելափակումը։

Հաղորդեք շերտը, ոչ թե արձանագրությունը

Գրեք արդյունքը երեք ձևերից մեկով․ արտաքին առաքումը ձախողվեց, ներքին փոխանցումը ձախողվեց, կամ հավելվածը ձախողվեց։ Յուրաքանչյուրն ունի տարբեր պատասխանատու, և դրանք խառնելը տոմսը ուղարկում է սխալ թիմին։

Տեղական պորտի փոփոխությունը չի կարող հեռավոր ծայրում համապատասխան լսող սարք ստեղծել, ուստի հաճախորդի կողմի շրջանցումը, որը թվում է, թե օգնում է, սովորաբար ապացույց է, որ սկզբնական նպատակակետը սխալ էր։ Նույն կերպ, տրամադրված այլընտրանքային պրոֆիլը ինչ-որ բան ապացուցում է հասանելիության մասին և ոչինչ՝ այն մասին, թե արդյոք հավելվածը ճիշտ է կարգավորված։

Եզրակացությունը առանձին պահեք դիտարկումից։ Երթևեկության վերլուծությունը կարող է հուշել, թե ինչ է հոսքը՝ առանց վերծանելու այն, և դա օգտակար արդյունք է, բայց դա նույն պնդումը չէ, ինչ ներքին վերնագիրը կարդալը։ Նշեք, թե որն եք իրականում ունեցել։