Hvers vegna margar apptengingar deila einni OpenVPN setu

Ímyndaðu þér vafra sem hleður HTTPS síðu á meðan SSH biðlari nær í annan netþjón og leysir svarar fyrirspurn, allt um eina OpenVPN setu. Á líkamlega viðmótinu sérðu eina samræðu; inni í göngunum sérðu þrjár. Bæði sjónarhornin eru rétt, og að vita hvers vegna er munurinn á gagnlegri upptöku og ruglingslegri. Fylgdu einu innra flæði frá sokk til vírs og lagaskiptingin hættir að vera abstrakt.

Ein ytri samræða, mörg innri flæði

Hvert forrit opnar eigin sokk og kjarninn gefur honum fimmund úr upprunafangi, upprunaporti, áfangafangi, áfangaporti og samskiptareglu. Þessar fimmundir eru til áður en nokkur göng koma við sögu. Síðan ákveður leiðsla að þær fari allar út um gangatækið, svo pakkinn sem er afhentur OpenVPN ber enn upprunalegu hausana inni í sér. OpenVPN dulkóðar þennan innri pakka og vefur niðurstöðuna í eina ytri UDP eða TCP samræðu við jafningjann. Ytri samræðan er því ein, á meðan flæðin inni í henni eru jafn mörg og forritin opnuðu.

Ekkert hrynur. Innri fimmundirnar lifa af frá enda til enda, og þess vegna getur fjarlæga hliðin enn greint þrjú flæðin í sundur.

Portið sem helst fast

Það sem helst stöðugt er ytra fimmundið: fangið þitt, staðbundna portið sem biðlarinn batt, fang jafningjans og stillta þjónustuportið. Þetta fimmund er það sem eldveggur eða NAT á leiðinni verður að leyfa, og það er það sem upptaka á uppstrengsliðnum mun sýna. Það er líka það sem breytist eftir endurtengingu eða netkerfisskipti, því biðlarinn getur bundið annað staðbundið port. Ein göng þýða ekki eitt fast upprunaport að eilífu.

Innri portin eru það sem endapunktarnir láta sig varða. HTTPS flæði heldur áfangaportinu 443 inni í göngunum þótt ytri flutningurinn sitji á því porti sem rekstraraðilinn stillti. Endapunktar forritsins fá aldrei að vita um hið ytra.

Hvað afhjúpun breytir í fjarlæga endanum

Hjá jafningjanum er ytra lagið fjarlægt og innri pakkinn er það sem eftir verður. Þaðan gilda framsending og aðgangsstefna um innri áfangann og samskiptaregluna. Vefþjónninn fær enn HTTPS tengingu, SSH þjónustan fær enn SSH, og leysirinn fær enn fyrirspurn.

Þess vegna er regla sem leyfir ytri flutning ekki sama regla og að leyfa innri þjónustu. Sú fyrri lýsir leið; sú síðari lýsir heimild.

Ytra TCP þýðir eitt streymi, ekki ein tenging

Þegar ytri flutningurinn er UDP er örlög hvers innra flæðis óháð: týnd gagnagrannsending hefur áhrif á eina flutninga þar til endursending hennar sjálfrar. Þegar ytri flutningurinn er TCP deila öll innri flæði einu áreiðanlegu bætastreymi.

Þetta sameiginlega streymi er það sem fólk missir. Endurheimt á sér stað einu sinni, fyrir allt, svo eitt týnt hlut hefur töf á umferð hvers forrits sem er margfaldað inni. Það eru enn margar tengingar hjá endapunktunum og ein tenging á vírnum, og það er á vírnum sem áhrif höfuðs biðraðarinnar lifa. Fjöldi hlustandi porta segir þér ekkert um þetta, og þess vegna er að telja port slæm leið til að hugsa um afköst ganga.

Lýstu eigin uppsetningu nákvæmlega

Nefndu valda innri umferð og þann tiltekna ytri flutning sem flytur hana, í stað þess að segja að vélin sendi allt um eitt port. Staðbundin þjónusta, önnur göng og hin fangfjölskyldan búa öll til flæði sem komast aldrei inn í þessa samræðu. Upptaka á uppstrengsliðnum sýnir ytra fimmundið; upptaka inni í göngunum sýnir hin innri.

Taktu bæði og settu tímasetningarnar hlið við hlið. Ef þú þarft að sanna hvaða forrit bjó til hvaða innra flæði er sokkataflan á vélinni betra tólið, því hún tengir port beint við ferla. Skrifaðu síðan niður ytra fimmundið sem þú fylgdist með og augnablikið sem þú fylgdist með því, því næsta upptaka eftir endurtengingu getur með réttu sýnt aðrar tölur.