UDP'ны ISP бөгөйбү, же туннелдин ичиндеги колдонмобу?

Бирөө VPN «UDP'ны бөгөйт» деп билдирет, жана бул сүйлөм эки таптакыр башка ырастоону жашырат. Бири кирүү тармагы көрө алган транспорт жөнүндө, экинчиси туннелдин ичинде шифри ачылгандан кийинки колдонмо пакеттери жөнүндө. Шифрленген туннелди эч кандай ачкычсыз сырттан чыпкалоого болот, ал эми ички UDP колдонмосу чыпкалоого эч кандай тиешеси жок себептерден улам иштен чыгышы мүмкүн. Далил чогултуудан мурун кайсы ырастоону текшерип жатканыңызды чечиңиз.

Эки аталыш, бир сөз

NAT-traversal колдонулган IPsec жайгаштырууда сырткы пакет — эки VPN четки чекитинин ортосунда даректелген UDP, адатта 4500 портунда. Анын ичинде шифрленген пайдалуу жүк туннел өткөргөн нерсенин баарын ташыйт, ал өзү TCP же UDP болушу мүмкүн. Ошондуктан UDP сөзү эки жолу, ар башка мааниде жана ар башка көрүнүүдө чыгат.

Ортолук тармак сырткы аталышты көрөт, ичкиден эч нерсе көрбөйт. Ал сырткы агымды уруксат кыла, калыптай же таштай алат, жана бул үчүн эч нерсенин шифрин ачуунун кереги жок. Ушул асимметрия эки ырастоонун чаташуусунун бүткүл себеби: бир эле сөз тармак чыпкалаган нерсени да, колдонмо жиберген нерсени да сүрөттөйт. Табылганы жазган сайын сөздүн жанына катмарды жазыңыз, чаташуу негизинен жоголот.

Ички аталыш кабыл алуучу четки чекитте, шифр ачылгандан кийин гана көрүнөт. Ошол учурдан тартып пакет кадимки пакет сыяктуу өткөрүлөт, маршруттарга, саясатка жана четки чекиттин өзүнүн чыпкалоосуна байланыштуу. Буларды ар башка түзмөктөр кабыл алган өзүнчө чечимдер.

Тармак дагы эмнени көрө алат

Шифрлөө пайдалуу жүктү жана ички транспорт аталышын жашырат, агымдын бар экендиги фактысын эмес. Четки чекиттердин даректери, порттор, пакеттин өлчөмдөрү жана убакыт көрүнүп турат, жана бул трафикти эвристикалык түрдө классификациялоого же белгилүү бир багытты бөгөөгө жетет.

sudo tcpdump -ni eth0 'udp port 4500'
sudo tcpdump -ni tun0 'udp port 5201'

Биринчи жазуу физикалык интерфейстеги сырткы агымды, экинчиси туннел интерфейсиндеги ички агымды көрсөтөт. Экөөнү бир убакта иштетүү суроого түз жооп берет: эгер сырткы агым бар болуп, ичкиси жок болсо, колдонмо туннелге эч нерсе жиберген эмес. Эгер экөө тең бар болуп, эч нерсе кайтпаса, маселе туннелден тышкары — багытта же кайтуу жолунда.

RFC 3948 сырткы UDP инкапсуляциясын аныктайт, ал эми ESP спецификациясы анын ичиндеги корголгон жайгашууну аныктайт. Эки документтин экөө тең кирүү тармагы сырткы агымды өткөрөт деп убада кылбайт, ошондуктан ичкиси жөнүндө кандайдыр бир теориядан мурун сырткы төрттүктө жеткиликтүүлүк текшерүүсүн жүргүзүүгө татыктуу. Бөгөлгөн сырткы төрттүк эч качан пайда болбой турган туннелди түзөт, пайда болуп, кийин бир колдонмодон ажыраган туннелди эмес.

Эмне үчүн иштеп жаткан туннелдин ичинде бир UDP колдонмосу иштей албайт

Веб колдонмону ташыган, бирок UDP колдонмосун ташыбаган туннелдин бир нече ыктымал түшүндүрмөсү бар, жана ISP тарабынан ички протоколду чыпкалоо биринчи эмес. Эң кеңири тараганы — камтуу: эки колдонмо бир туннелге чогуу кирбейт, анткени UDP багытына маршрут жок же кардардын бөлүнгөн туннель эрежелери аны чыгарып салат.

Экинчиси — четки чекит. Протоколдордун тизмесине уруксат берген VPN сервери, багыттагы брандмауэр же күтүлгөн портто эч качан укпаган кызмат — баары тең тармактык бөгөөгө так окшош күтүү убактысын жаратат.

Үчүнчүсү — пакеттин өлчөмү. UDP колдонмолору көбүнчө веб сурамдан чоңураак датаграммаларды жиберет, ал эми инкапсуляция колдонууга боло турган MTU'ну азайтат, ошондуктан ийгиликтүү кол алышуудан кийин биринчи толук өлчөмдөгү жүктө үнсүздүк орной алат. Бул үлгүнү бөгөө деп туура эмес окуу оңой, анткени кичине пакеттер өтөт, чоңдору жоголот. Тез MTU текшерүүсү муну бир мүнөттөн аз убакытта чечет, ал эми жооп адатта тармактык чыпка эмес, кичирээк жүк же оңдолгон MSS болот.

ping -M do -s 1400 -c 2 10.60.0.20
iperf3 -u -c 10.60.0.20 -p 5201 -b 1M -t 5

Биринчи буйрук чоң пакеттин фрагментация өчүрүлгөн абалда жолдон өтүшүн текшерет, бул MTU маселесин тез ачат. Экинчиси кичине, чектелген UDP агымын жиберип, жоготуу жана джиттер тууралуу билдирет. Башталып, анан токтоп калган агым бөгөөгө эмес, өлчөмгө багыттайт.

Протоколду эмес, катмарды билдириңиз

Табылганы үч форманын биринде жазыңыз: сырткы жеткирүү ишке ашпады, ички өткөрүү ишке ашпады же колдонмо ишке ашпады. Ар биринин ээси башка, жана аларды аралаштыруу билетти туура эмес топко жиберет.

Жергиликтүү портту өзгөртүү алыскы жакта дал келген угуучуну түзө албайт, ошондуктан жардам бергендей көрүнгөн кардар тараптагы айланып өтүү адатта баштапкы багыттын туура эмес болгонунун далили. Ошондой эле, сунушталган альтернативадык профиль жеткиликтүүлүк жөнүндө бир нерсени далилдейт, ал эми колдонмонун туура конфигурацияланганы жөнүндө эч нерсени далилдебейт.

Корутундуну байкоодон өзүнчө кармаңыз. Трафик анализи шифрди ачпастан агымдын эмне экенин болжолдоого мүмкүндүк берет, жана бул пайдалуу табылга, бирок ал ички аталышты окуу менен бирдей ырастоо эмес. Сизде кайсынысы чындап бар экенин көрсөтүңүз.