47 արձանագրությունը ընդդեմ TCP 47 պորտի՝ երկու վերնագիր, երկու կանոն
Արձանագրության համարը և պորտը ապրում են տարբեր վերնագրերում, ուստի մեկ կանոնը չի կարող փոխարինել մյուսին։ PPTP-ն առանձնացնում է երկուսը, և պորտի դաշտը չի կարող արտահայտել GRE-ն։
Հյուրանոցային ցանցերը և համաժողովների հրամուրները հաճախ ցույց են տալիս հատուկ թույլտվության դաշտ, և ինչ-որ մեկը մուտքագրում է 47-ը՝ հույս ունենալով, որ PPTP-ն կաշխատի։ Կանոնը ստեղծվում է, թունելը դեռ ձախողվում է, և հաջորդ փորձը օգտագործում է այլ համար։ Սխալը հենց փաթեթի մեջ է. IPv4-ն ունի արձանագրության դաշտ, որը նշում է, թե ինչ է գալիս IP վերնագրից հետո, մինչդեռ TCP-ն և UDP-ն ունեն պորտի դաշտեր, որոնք գոյություն ունեն միայն այդ վերնագրերից մեկի ներսում գտնվելիս։ Սրանք նույն թույլտվության երկու ուղղագրություն չեն։
IPv4 վերնագիրը նշում է հաջորդ արձանագրությունը
Արձանագրության դաշտը IPv4 վերնագրում մեկ բայթ է, և պարունակում է թիվ, որը նկարագրում է բեռը՝ 6 TCP-ի համար, 17 UDP-ի համար, 47 GRE-ի համար, 50 ESP-ի համար։ Ամեն ինչ, որ զտում է փաթեթները, կարդում է այդ արժեքը նախքան ավելի խորը նայելը, որովհետև ավելի խորը վերնագիրը իմաստ ունի միայն տեսակը հայտնի դառնալուց հետո։ Փոխիր պորտը ավելի ուշ զրույցում, և այս դաշտը չի շարժվել։
Ուստի 47 արձանագրության դեմ գրված կանոնը նկարագրում է IP շերտը։ Ոչ մի պորտ ընդհանրապես չի մասնակցում որոշմանը։
Պորտերը գոյություն ունեն TCP-ի և UDP-ի ներսում, ուրիշ ոչ մի տեղ
Պորտերը տասնվեց բիթանոց նույնացուցիչներ են TCP-ի և UDP-ի վերնագրերի ներսում, և նրանց խնդիրն է առանձնացնել մեկ հասցեն կիսող զրույցները։ GRE վերնագիրը կրում է արձանագրության տեսակի արժեք, հաճախ EtherType, գումարած բազմաբազմացման համար կամընտիր բանալիներ։ Ուստի «պորտ 47» արտահայտությունը ոչինչ չի անվանում, ինչի հետ GRE փաթեթը կարող էր համընկնել։
Հրամուրների ինտերֆեյսները տարբերվում են նրանով, թե որքան են ցուցադրում սրանից։ Ոմանք ընդունում են արձանագրության համար, ոմանք առաջարկում են անվանված ցանկ, և քչերը ընդունում են միայն TCP կամ UDP պորտերով։
PPTP-ն օգտագործում է երկու շերտերը միաժամանակ
PPTP-ն ամենապարզ օրինակն է, քանի որ դիտավորյալ բաժանում է իր աշխատանքը երկու շերտերի միջև։ Կառավարման կապը TCP սեսիա է դեպի 1723 պորտ, իսկ տվյալների ուղին GRE-ն է՝ 47 արձանագրությունը, առանց որևէ պորտի մասնակցության որևէ տեղ։ Հրամուրը, որը թույլատրում է 1723-ը և ուրիշ ոչինչ, թողնում է բանակցությունը սկսվել, ապա դեն է նետում բեռը։ Թունելը կարծես կախված է մնում նույնականացումից հետո՝ միանալու ձախողման փոխարեն, և դրա համար ախտանիշը հաճախ ներկայացվում է որպես գաղտնաբառի խնդիր։
| Path | Outer protocol | Port |
|---|---|---|
| Control channel | TCP, protocol 6 | 1723 |
| Data channel | GRE, protocol 47 | None |
Կանոնը գրելիս կարդա երկու տողերն առանձին, և ստուգիր յուրաքանչյուրը վաճառողի շարահյուսության համաձայն։ Մեկ տողին պորտ է պետք, մյուսին՝ արձանագրության համար, և ոչ մի գրառում չի ծածկում երկուսը։
Ինչու պորտի փոխանցման էջը չի կարող արտահայտել GRE-ն
Փոխանցման ձևը, որն ընդունում է միայն TCP և UDP, չի կարող նկարագրել GRE-ն, ինչ էլ որ կոչվի ձևը։ Հասցեների թարգմանությունը ավելացնում է երկրորդ դժվարություն, քանի որ GRE-ն պորտեր չունի, և թարգմանիչը պետք է փոխարենը հետևի զանգի նույնացուցիչին։ Որոշ տնային երթուղիչներ գալիս են օգնականով, որը զբաղվում է դրանով. շատերը՝ ոչ, և ոչ մի լրացուցիչ TCP թույլտվության գրառում չի ստեղծի այդ վարքը։
Երբ իրական պահանջը ժամանակակից թունելն է, ընտրիր լուծում, որը դիտավորյալ օգտագործում է TCP կամ UDP, փոխարենը հույս դնելու, որ թարգմանիչը ճիշտ կգուշակի։
Ինկապսուլյացիան որոշում է, թե ինչ է տեսնում զտիչը
Ինկապսուլյացիան փոխում է արտաքին փաթեթը, և հենց արտաքին փաթեթն է, որին համապատասխանում է կանոնը։ Բնիկ ESP-ն 50 արձանագրությունն է, մինչդեռ NAT-ի անցումը փաթաթում է ESP-ն UDP 4500-ի ներսում, որպեսզի այն վերապրի հասցեների թարգմանությունը։ Զտիչը, որը թույլատրում է UDP 4500-ը, երբեք չի տեսնում 50 արձանագրությունը, և 50 արձանագրության համար գրված զտիչը երբեք չի համապատասխանում փաթաթված ձևին։
Հարցրու, թե որ ինկապսուլյացիայի շուրջ պայմանավորվեցին հաճախորդը և դարպասը, ապա գրիր կանոնը հենց այդ արտաքին ձևի համար և ոչ ավելին։
Գրիր կանոնը այնպես, որ ինչ-որ մեկը կարողանա ստուգել այն
Յուրաքանչյուր կանոն արտահայտիր որպես հասցեների ընտանիք, արտաքին արձանագրություն, տրանսպորտային պորտեր, եթե կան, ուղղություն և երկու ծայրակետեր։ Գրախոսը կարող է համեմատել այդ նախադասությունը փաթեթների գրառման հետ և հանգել վճռի։ 47-ը բացելու հրահանգը ոչ ոք չի կարող ստուգել, և դրա համար է, որ այն տարիներով մնում է ընթացակարգերի գրքերում։
Ավելացրու թեստը, որն ապացուցում է դա. միացիր արտաքին ինտերֆեյսում գրանցում անելիս, և հաստատիր արտաքին արձանագրությունը և պորտը, որոնք իրականում հայտնվում են հետքում։