UDP-ны ISP бөгей ме, әлде туннель ішіндегі қосымша ма?

Біреу VPN «UDP-ны бөгейді» деп хабарлайды, ал бұл сөз тіркесі екі мүлдем басқа тұжырымды жасырады. Бірі қатынау желісі көре алатын тасымал туралы, екіншісі туннель ішінде шифры ашылғаннан кейінгі қосымша пакеттері туралы. Шифрланған туннельді ешбір кілтсіз сырттан сүзуге болады, ал ішкі UDP қосымшасы сүзуге мүлдем қатысы жоқ себептермен істен шығуы мүмкін. Дәлел жинамас бұрын қай тұжырымды тексеретініңізді шешіңіз.

Екі тақырып, бір сөз

NAT-traversal қолданылған IPsec орналастыруында сыртқы пакет — екі VPN шеткі нүктесінің арасында мекенделген UDP, әдетте 4500 портында. Оның ішінде шифрланған пайдалы жүктеме туннель жіберетіннің бәрін тасымалдайды, ол өзі TCP немесе UDP болуы мүмкін. Сондықтан UDP сөзі екі рет, әртүрлі мағынамен және әртүрлі көрінумен шығады.

Аралық желі сыртқы тақырыпты көреді, ішкіден ештеңе көрмейді. Ол сыртқы ағынды рұқсат ете, қалыптастыра немесе тастай алады, және ол үшін ештеңенің шифрын ашу қажет емес. Осы асимметрия — екі тұжырымның шатасуының бүкіл себебі: бір сөз желі сүзетін нәрсені де, қосымша жіберетін нәрсені де сипаттайды. Қорытындыны жазған сайын сөздің жанына қабатты жазыңыз, сонда шатасу негізінен жоғалады.

Ішкі тақырып тек қабылдаушы шеткі нүктеде, шифр ашылғаннан кейін көрінеді. Сол сәттен бастап пакет кез келген басқа пакет сияқты жіберіледі, маршруттарға, саясатқа және шеткі нүктенің өз сүзуіне байланысты. Бұларды әртүрлі құрылғылар қабылдайтын жеке шешімдер.

Желі әлі де нені көре алады

Шифрлау пайдалы жүктемені және ішкі тасымал тақырыбын жасырады, ағынның бар екендігі фактісін емес. Шеткі нүктелердің мекенжайлары, порттар, пакет өлшемдері және уақыты көрінетін күйінде қалады, және бұл трафикті эвристикалық түрде жіктеуге немесе белгілі бір межелі орынды бөгеуге жетеді.

sudo tcpdump -ni eth0 'udp port 4500'
sudo tcpdump -ni tun0 'udp port 5201'

Бірінші түсірілім физикалық интерфейстегі сыртқы ағынды, ал екіншісі туннель интерфейсіндегі ішкі ағынды көрсетеді. Екеуін бір уақытта іске қосу сұраққа тікелей жауап береді: егер сыртқы ағын бар болып, ішкісі жоқ болса, қосымша туннельге ештеңе жібермеген. Егер екеуі де бар болып, ештеңе қайтпаса, мәселе туннельден тыс жерде — межелі орында немесе қайту жолында.

RFC 3948 сыртқы UDP инкапсуляциясын анықтайды, ал ESP ерекшелігі оның ішіндегі қорғалған орналасуды анықтайды. Екі құжаттың ешқайсысы қатынау желісі сыртқы ағынды өткізетініне уәде бермейді, сондықтан ішкісі туралы кез келген теориядан бұрын сыртқы төрттікте қолжетімділік сынағын жүргізуге тұрарлық. Бөгелген сыртқы төрттік ешқашан қалыптаспайтын туннель жасайды, қалыптасып, кейін бір қосымшадан айырылатын туннель емес.

Неге жұмыс істеп тұрған туннельдің ішінде бір UDP қосымшасы істен шығады

Веб қосымшаны тасымалдайтын, бірақ UDP қосымшасын тасымалдамайтын туннельдің бірнеше ықтимал түсіндірмесі бар, және ISP-тің ішкі протоколды сүзуі бірінші емес. Ең жиі кездесетіні — қамту: екі қосымша бір туннельге бірге кірмейді, өйткені UDP межелі орнына маршрут жоқ немесе клиенттің бөлінген туннель ережелері оны шығарып тастайды.

Екіншісі — шеткі нүкте. Протоколдар тізіміне рұқсат беретін VPN сервері, межелі орындағы брандмауэр немесе күтілетін портта ешқашан тыңдамайтын қызмет — бәрі де желілік бөгеуге тура ұқсайтын күту уақытын тудырады.

Үшіншісі — пакет өлшемі. UDP қосымшалары көбіне веб сұраныстан үлкенірек датаграммалар жібереді, ал инкапсуляция пайдалануға болатын MTU-ды азайтады, сондықтан сәтті қол алысқаннан кейін бірінші толық өлшемді жүктемеде үнсіздік орнауы мүмкін. Бұл үлгіні бөгеу деп қате оқу оңай, өйткені шағын пакеттер өтеді, үлкендері жоғалады. Жылдам MTU тексерісі мұны бір минуттан аз уақытта шешеді, ал жауап әдетте желілік сүзгі емес, кішірек жүктеме немесе түзетілген MSS болады.

ping -M do -s 1400 -c 2 10.60.0.20
iperf3 -u -c 10.60.0.20 -p 5201 -b 1M -t 5

Бірінші пәрмен үлкен пакеттің фрагментация өшірілген күйде жолдан өтетінін тексереді, бұл MTU мәселесін тез ашады. Екіншісі шағын, шектеулі UDP ағынын жіберіп, жоғалту мен джиттер туралы хабарлайды. Басталып, кейін тоқтап қалған ағын бөгеуге емес, өлшемге меңзейді.

Протоколды емес, қабатты хабарлаңыз

Қорытындыны үш нысанның бірінде жазыңыз: сыртқы жеткізу сәтсіз аяқталды, ішкі жіберу сәтсіз аяқталды немесе қосымша сәтсіз аяқталды. Әрқайсысының иесі бөлек, ал оларды араластыру билетті дұрыс емес топқа жібереді.

Жергілікті портты өзгерту қашықтағы жақта сәйкес тыңдаушы жасай алмайды, сондықтан көмектескендей көрінетін клиент жағындағы айналма шешім әдетте бастапқы межелі орынның қате болғанының дәлелі. Сол сияқты, ұсынылған балама профиль қолжетімділік туралы бірдеңе дәлелдейді, ал қосымшаның дұрыс конфигурацияланғаны туралы ештеңе дәлелдемейді.

Тұжырымды бақылаудан бөлек ұстаңыз. Трафик талдауы шифрды ашпай-ақ ағынның не екенін болжауға мүмкіндік береді, және бұл пайдалы қорытынды, бірақ ол ішкі тақырыпты оқумен бірдей тұжырым емес. Сізде қайсысы шынымен бар екенін көрсетіңіз.