Ինչու են բազմաթիվ հավելվածային միացումներ կիսում մեկ OpenVPN նստաշրջան

Պատկերացրեք դիտարկիչ, որը բեռնում է HTTPS էջ, մինչ SSH հաճախորդը հասնում է մեկ այլ սերվերի, և լուծիչը պատասխանում է հարցմանը՝ ամեն ինչ մեկ OpenVPN նստաշրջանի միջով։ Ֆիզիկական ինտերֆեյսում դուք տեսնում եք մեկ զրույց, թունելի ներսում՝ երեք։ Երկու տեսակետներն էլ ճիշտ են, և իմանալը, թե ինչու, տարբերությունն է օգտակար և շփոթեցնող գրառումների միջև։ Հետևեք մեկ ներքին հոսքի սոկետից մինչև լար, և շերտավորումը դադարում է վերացական լինելուց։

Մեկ արտաքին զրույց, բազմաթիվ ներքին հոսքեր

Յուրաքանչյուր հավելված բացում է իր սոկետը, և միջուկը նրան տալիս է հնգյակ՝ աղբյուրի հասցե, աղբյուրի պորտ, նպատակակետի հասցե, նպատակակետի պորտ և արձանագրություն։ Այդ հնգյակները գոյություն ունեն նախքան որևէ թունելի ներգրավվելը։ Այնուհետև երթուղավորումը որոշում է, որ բոլորը դուրս են գալիս թունելային սարքից, ուստի OpenVPN-ին հանձնված փաթեթը դեռ կրում է սկզբնական վերնագրերը իր ներսում։ OpenVPN-ը գաղտնագրում է այդ ներքին փաթեթը և արդյունքը փաթաթում մեկ արտաքին UDP կամ TCP զրույցի մեջ գործընկերոջ հետ։ Այսպիսով՝ արտաքին զրույցը մեկն է, մինչդեռ դրա ներսի հոսքերը այնքան են, որքան հավելվածները բացել են։

Ոչինչ չի փլուզվում։ Ներքին հնգյակները պահպանվում են ծայրից ծայր, և դրա համար է, որ հեռավոր կողմը դեռ կարող է տարբերել երեք հոսքերը։

Պորտը, որը մնում է անփոփոխ

Անփոփոխ է մնում արտաքին հնգյակը՝ ձեր հասցեն, այն տեղական պորտը, որը կապել է հաճախորդը, գործընկերոջ հասցեն և կարգավորված ծառայության պորտը։ Հենց այդ հնգյակն է, որ պետք է թույլատրի ուղու վրա գտնվող հրապարակը կամ NAT-ը, և հենց այն է, որ ցույց կտա վերին կապուղու վրա արված գրառումը։ Այն նաև փոխվում է վերամիացումից կամ ցանցի փոխումից հետո, որովհետև հաճախորդը կարող է կապել այլ տեղական պորտ։ Մեկ թունելը չի նշանակում մեկ հաստատուն աղբյուրի պորտ ընդմիշտ։

Ներքին պորտերն են, ինչը կարևոր է ծայրակետերի համար։ HTTPS հոսքը թունելի ներսում պահում է 443 նպատակակետային պորտը, թեև արտաքին փոխադրումը նստում է այն պորտի վրա, որը կարգավորել է օպերատորը։ Հավելվածի ծայրակետերը երբեք չեն իմանում արտաքինի մասին։

Ինչ է փոխում ապակապսուլավորումը հեռավոր ծայրում

Գործընկերոջ մոտ արտաքին շերտը հանվում է, և մնում է ներքին փաթեթը։ Այնտեղից փոխանցումը և մուտքի քաղաքականությունը կիրառվում են ներքին նպատակակետի և արձանագրության վրա։ Վեբ սերվերը դեռ ստանում է HTTPS միացում, SSH ծառայությունը դեռ ստանում է SSH, և լուծիչը դեռ ստանում է հարցում։

Այդ պատճառով արտաքին փոխադրումը թույլատրող կանոնը նույնը չէ, ինչ ներքին ծառայություն թույլատրելը։ Առաջինը նկարագրում է ուղի, երկրորդը՝ լիազորություն։

Արտաքին TCP-ն նշանակում է մեկ հոսք, ոչ թե մեկ միացում

Երբ արտաքին փոխադրումը UDP է, յուրաքանչյուր ներքին հոսքի ճակատագիրն անկախ է. կորցրած դատագրամը ազդում է մեկ փոխանցման վրա մինչև իր կրկնակի ուղարկումը։ Երբ արտաքին փոխադրումը TCP է, բոլոր ներքին հոսքերը կիսում են մեկ հուսալի բայթային հոսք։

Հենց այդ ընդհանուր հոսքն է այն մասը, որ մարդիկ բաց են թողնում։ Վերականգնումը տեղի է ունենում մեկ անգամ՝ ամեն ինչի համար, ուստի մեկ կորցրած սեգմենտը ուշացնում է ներսում մուլտիպլեքսավորված յուրաքանչյուր հավելվածի թրաֆիկը։ Ծայրակետերում դեռ շատ միացումներ կան, իսկ լարի վրա՝ մեկ միացում, և հենց լարի վրա է ապրում հերթի գլխի էֆեկտը։ Լսող պորտերի քանակը այս մասին ոչինչ չի ասում, և դրա համար պորտեր հաշվելը թունելի արտադրողականության մասին մտածելու վատ ձև է։

Նկարագրեք ձեր սեփական կարգավորումը ճշգրիտ

Անվանեք ընտրված ներքին թրաֆիկը և այն կրող կոնկրետ արտաքին փոխադրումը, փոխարենը ասելու, որ մեքենան ամեն ինչ ուղարկում է մեկ պորտով։ Տեղական ծառայությունները, երկրորդ թունելը և հասցեների մյուս ընտանիքը ստեղծում են հոսքեր, որոնք երբեք չեն մտնում այս զրույցի մեջ։ Վերին կապուղու գրառումը ցույց է տալիս արտաքին հնգյակը, իսկ թունելի ներսի գրառումը՝ ներքինները։

Վերցրեք երկուսն էլ և դրեք ժամանակադրոշմները կողք կողքի։ Եթե պետք է ապացուցեք, թե որ հավելվածն է ստեղծել որ ներքին հոսքը, ապա հոսթի սոկետների աղյուսակը ավելի լավ գործիք է, որովհետև այն պորտերը ուղղակիորեն կապում է պրոցեսների հետ։ Այնուհետև գրեք ձեր դիտարկած արտաքին հնգյակը և դիտարկման պահը, որովհետև վերամիացումից հետո հաջորդ գրառումը կարող է օրինականորեն այլ թվեր ցույց տալ։