VPN порт талаптары: салыстыру алдында жазылатын үш жол
Шынымен қай порт сұрағы бар екенін анықтаңыз: сыртқа шығатын межелі орын, ішке жариялау немесе туннельдің өз көлігі. Содан кейін провайдерден тек соны сұраңыз.
VPN қызметтерінің порт тізімдері салыстыру беттері арасында олардың маңызды екенін анықтайтын бөлшексіз көшіріледі: байланысты кім бастайды. Сыртқа шығатын TCP 443 рұқсат ететін ереже басқа хосттың сіздің машинаңыздағы тыңдаушыға жете алатыны туралы ештеңе айтпайды. Бір жоспарды салыстырмас бұрын үш бөлек талап жазыңыз және тапсырмаңызға қайсысы шынымен қажет екенін белгілеңіз. Сол парақ болса, салыстырулардың көбі бір қысқа сұраққа жинақталады.
Кез келген порт тізімін оқымас бұрын талапты бөліңіз
Үш жол барлық жағдайдың барлығын дерлік қамтиды: туннельден тыс жердегі межелі орынға жету, басқалар ішке қосыла алуы үшін бірдеңе жариялау және туннельдің өзін тасымалдау. Әр жол әртүрлі себеппен сәтсіздікке ұшырайды, ал біреуін қанағаттандыратын провайдер саясаты қалған екеуін тимей қалдыруы мүмкін. Тапсырманы дұрыс жолға орналастыру бес минут алады және кейінгі даудан сақтайды.
| Line | Who starts it | What can block it | Question for the provider |
|---|---|---|---|
| Outbound destination | Your application | Egress filter on the exit node | Is this protocol and port allowed to that destination? |
| Inbound publishing | A remote peer | No mapping, no public address, short lifetime | Which protocol, which external port, and how long does the mapping last? |
| Tunnel transport | Your client to the gateway | The access network drops that protocol | Does the client offer a fallback the local network permits? |
Маркетингтік мәлімдемелер үш жолды әдейі бұлыңғырлайды. P2P рұқсаты межелі орын саясатын сипаттайды, арнайы мекенжай мекенжайды сипаттайды, ал порттарға шектеу жоқ деген тұжырым әдетте жоспар оларды тізімдемейтінін білдіреді. Бұл тіркестердің ешқайсысы қалғандарына жауап бермейді.
Бір нақты ағынды таңдап, оны сөйлем ретінде жазыңыз: бастаушы, көлік, порт, мекенжайлар тобы, бағыт. Қашықтағы хостқа жүктейтін түнгі сақтық көшірме клиенті тек сыртқа шығады. Үстеліңіздегі достар қосылатын ойын сервері ішке кіреді. Екеуін бір туннель арқылы жүргізу параққа екі жол да қажет екенін, олардың арасындағы ымыра емес екенін білдіреді.
Сыртқа шығу межелі орын саясатында сәтсіз болады, туннельде емес
Аударатын шлюз арқылы сыртқа шығатын трафик күй жасайды. Ішкі мекенжай мен порттан келген бірінші пакет аударма жазбасын құрады, ал жауаптар оған сәйкес келеді, бұл RFC 3022 ішінде сипатталған сәйкестендіру мінез-құлқы. Осы механизм браузер қойындысының порт сұрауынсыз жұмыс істеуінің себебі.
Екі нәрсе әлі де оны бұзады. Шығу торабы өзі теріс пайдалануға болады деп санайтын межелі орындарды немесе порт нөмірлерін сүзгілеуі мүмкін, ал қолданба шығу саясаты күтпеген портта тыңдауы мүмкін. Ішке кіретін ережелер емес, межелі орын жұбы туралы сұраңыз және TCP мен UDP үшін әртүрлі жауап күтіңіз.
Дауласпас бұрын өлшеңіз. Бұларды туннельдің артында тұратын машинада орындаңыз, бір рет туннель өшірулі және бір рет қосулы күйінде:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://example.com
Бірдей пәрмендер, бірдей межелі орын, туннельдің екі күйі операторға әрекет етуге болатын дейінгі-кейінгі салыстыру береді. Құжаттама мекенжайын шынымен қажет хостпен алмастырыңыз; маңыздысы салыстырудың қайталануы, қандай да бір санның әсерлі көрінуі емес.
Ішке жариялау сәйкестендіруді, мекенжайды және өмір сүру мерзімін қажет етеді
Сырттан ештеңе сіздің тыңдаушыңызға байланыс бастай алмайды, егер қоғамдық жақта бірдеңе оны қайда жеткізуді білмесе. Оператор ұстап тұрған статикалық порт резерві, клиент UPnP, NAT-PMP немесе PCP арқылы сұраған сәйкестендіру және маршрутталған қоғамдық мекенжай — бұл үш түрлі өнім, үш түрлі шектеумен.
Олардың кез келгені туралы бес сұрақ қойыңыз: қай протокол, қай сыртқы порт, сыртқы порт жергіліктіден өзгеше бола ала ма, қай мекенжайлар тобын қамтиды және қайта қосылғаннан кейін сәйкестендіру қанша тұрады. Белсенді сессияға байланған резерв сол сессия аяқталғанда жоғалады, жоспар беті не десе де.
Алдымен жергілікті жартысын растаңыз, өйткені өлі тыңдаушы мен бөгелген ішке кіретін жол сырттан бірдей көрінеді:
ss -lntup | grep -E ':(8080|51820)\b'
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
Жергілікті сұрау 200 қайтарса, ал сіз бақыламайтын желіден келген сұрау әлі уақыт бітіп жатса, алшақтық қоғамдық жақта. Сол сәтте қолданбаны атымен сипаттаудың орнына операторға протокол мен сыртқы портты айту керек.
Туннельдің өз көлігі жеке сұрақ
Тасымалдаушы порттары мәселенің ең кішкентай бөлігі және ең оңай ізделетіні. Әдепкі мәндер протоколға қарай өзгереді, ал клиенттің келісе алатыны кез келген жоспар сипаттамасынан маңыздырақ.
| Client | Outer transport | Default port | When it helps |
|---|---|---|---|
| OpenVPN | UDP | 1194 | Default mode; needs outbound UDP to pass |
| OpenVPN | TCP | 443 | UDP is dropped and TCP 443 is not |
| WireGuard | UDP | 51820 | Short handshake; there is no TCP mode |
| IKEv2/IPsec | UDP | 500 and 4500 | Mobile clients; 4500 carries NAT traversal |
Сыртқа шығатын UDP-ны тастайтын желі TCP 443 туннелін қабылдап, UDP туннелінен бас тартады, сондықтан қосалқы режим талаптар парағына жатады. Тасымалдаушыны ауыстыру туннель ішіндегі қолданба портын жылжытпайды және межелі орын саясатын кеңейтпейді; олар өз жолдарында қалады.
Фрагментация сол жерде жүргенде бір тексеруге тұрарлық, өйткені қосылып, кейін үлкен тасымалдарда тұрып қалатын туннельде әдетте жабық порт емес, қате MTU болады:
ping -M do -s 1400 203.0.113.10 ping -M do -s 1372 203.0.113.10
Windows-та сол тексеру — ping -f -l 1400 203.0.113.10. Өтетін ең үлкен өлшемнен төмен туннельдің MTU-ын орнатыңыз, содан кейін сәтсіз болған тасымалды қайта тексеріңіз.
Жоспар үшін төлемес бұрын үш жолды тексеріңіз
Үш жолды бір бетке қойып, әр ұяшықты уәде емес, өлшенген нәтижемен толтырыңыз. Бұл пәрмендер сол беттің жергілікті жартысын шамамен бір минутта шығарады:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
ping -M do -s 1400 203.0.113.10
Шығысты бақылау тізімі ретінде оқыңыз. Туннель қосулы кезде межелі орын жауап берсе, сыртқа шығу жұмыс істейді. Ішке кіру тек сіздің желіңізден тыс хост сыртқы порттағы тыңдаушыға жеткенде жұмыс істейді. Тасымалдаушы кіру желіңіз рұқсат ететін протоколда қол алысу аяқталғанда жұмыс істейді.
Екі әдет парақты адал ұстайды. Әр нәтиженің қасына күн мен клиент нұсқасын жазып отырыңыз, өйткені провайдер саясаттары да, клиенттің әдепкі мәндері де қозғалады. Содан кейін ағынға қызмет ететін ең тар сәйкестендіруді сұраңыз, өйткені бәрін ашу өтініші әдетте техникалық жауаптың орнына бас тарту немесе қосымша сату әкеледі.