TCP 443 чын эле жардам береби? Сервер ошол жерде укса гана
TCP профили — камдык жол, жасалма бетме-бет эмес. Сервердин ошол портто укканын текшериңиз, анан кош TCP баасын жеткиликсиздик менен салыштырыңыз.
TCP 443 — алдын ала шарты бар камдык жол, ар кандай чыпкадан туннелди өткөрүүчү жасалма бетме-бет эмес. Ал оператор ошол портто TCP угуучусун мурун эле жарыялаганда жана жол саат бою ачык турган туташууну көтөргөндө жардам берет. Ушул экөөнүн бири жок болсо, ал көбүнчө күтүү убактысы катары ишке ашпайт, ал эми күтүү убактысы кайсынысы жетишпей жатканын сейрек айтат. Которуу тууралуу чечим үч суроону талап кылат, алардын бири гана порт номерине тиешелүү.
Порт номери — ташуу убадасы эмес
Порт четки чекитти атайт; TCP аны иреттелген байт агымына айландырат; OpenVPN ошол агымдын ичинде эмне жүрөрүн чечет. Ошол эле номердеги веб-сервер такыр башка колдонмо түзүлүшүн колдонот, ошондуктан 443 портун бөлүшүү экөөнү чыпка үчүн окшош көрсөтөт, андан ашык эмес. Номер — чыпка окуган белги, пакеттердин ичиндегини өзгөртүүчү касиет эмес. Портту бөлүшөт деп экөөнү бир деп эсептөө — бул жердеги баш аламандыктын көбүнүн артындагы ката.
Ортодогу түзмөктөр порт тууралуу жөнөкөй уруксат-же-тыюу чечимин сейрек кабыл алышат. Көпчүлүгү алгачкы байттарды текшерет, кээ бири багыттоочу жерди бекитет, ал эми кээ бири өтө узак ачык турган туташууларды кайра коюшат. Ошондуктан бир профиль бир тармактан иштеп, экинчисинен күтүү убактысына жетиши мүмкүн, ошондуктан камдык жолду убада катары ишенүүнүн ордуна колдоого алынган вариант катары сынап көрүү керек. Чыпка трафикти текшергенде, порт номери ал караган биринчи нерсе гана.
Профилди кармоодон мурун угуучуну ырастаңыз
Сервер портто TCP үчүн конфигурацияланышы керек, ал эми клиент профили ошол эле ташууну сурашы керек. UDP профилин TCP суроо үчүн кайра жазуу угуучуну жаратпайт, ал эми пайда болгон күтүү убактысы портту таштаган коргонуу дубалынан айырмаланбайт. Оператордун өз TCP профили болсо, аны жүктөп алыңыз, анткени кээ бир кызматтар ар бир ташуу үчүн өзүнчө четки чекитти жана өзүнчө идентификациялык жөндөөлөрдү жарыялашат. Кол менен оңдоо контролдонгон сыноо үчүн жакшы, ал эми провайдердин көздөгөн конфигурациясын болжолдоонун начар жолу.
Ошол дал келүүнүн эки жагы конфигурацияда көрүнөт, ал эми OpenVPN долбоорунун байланыш параметрлери эки форманы тең документтештирет. Эң кичине жуп мындай көрүнөт:
# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443Үч шарт камдык жолдун өз баасын актайбы деп чечет
Биринчи шарт — оператор бул ташууну такыр сунушташы; ансыз калганынын баары маанисиз. Экинчиси — жол узак сессияны тирүү кармашы, анткени кээ бир тармактар портту толук тосуунун ордуна ачык турган туташууларды кайра коюшат. Үчүнчүсү — камдык жол атайын жасалган өзгөчөлүкпү же сиз оңдобогон кемчиликти жашыруучу убактылуу чечимби.
Ар бир шарттын арзан текшерүүсү бар. Алардын кайсынысында болбосун ишке ашпоо клиент тараптан бирдей көрүнөт:
| Condition | How to check it | What a failure decides |
|---|---|---|
| The server offers TCP | The operator's profile list, or a listening-socket check on the server | No client-side edit can help |
| The path keeps long sessions | A test connection left open for an hour | Reconnects will look like server faults |
| The fallback is deliberate | A change record naming the UDP fault | The underlying fault stays invisible |
Ташууларды салыштырганга чейин туткун порталындагы каалаган кирүүнү аяктаңыз. Түзмөгүңүздү кабыл албаган тармак эки ташууну тең тосот, ошондо салыштыруу туннелди эмес, порталды өлчөйт. Кирүүнү аткарыңыз, кадимки серептөө иштээрин ырастаңыз, ошондон кийин гана сыноону баштаңыз.
Сиз кабыл алган баа: TCP ичиндеги TCP
TCP жоголгон сегменттерди кайра жөнөтөт жана алардын иретин сактайт. Өзү да TCP колдонгон колдонмо TCP туннелинин ичинде иштегенде, эки калыбына келтирүү катмары бирдей жоготууга жооп берет, жана дал ушул өз ара аракеттениш туннелди жоготуу бар жолдо жай сездирет. Белгиси таза ишке ашпоо эмес, кечигүү жана титирөө, бул алыс тарапты күнөөлөөнү жеңилдетет. Кортунду чыгарганга чейин клиент тараптан эки ташууда тең өлчөңүз.
UDP ушул киргизүүдөн качат, жана бул операторлордун аны артык көрүшүнүн жана TCP'ны гана алтернатива катары сунушташынын негизги себеби. Туруктуу TCP туташуусу жеткиликсиз UDP туташуусунан да пайдалуураак, ошондуктан салыштыруу жакшы менен жаман варианттын эмес, эки реалдуу баанын ортосунда. Салыштырып жатканда түзмөктү жана кирүү тармагын өзгөртпөй кармаңыз, болбосо натыйжа туура эмес өзгөрмөнү сүрөттөйт.
Кээ бир клиент функциялары бир гана ташуу үчүн документтештирилген, ошондуктан камдык профиль сиз таянган жүрүм-турумду үнсүз таштап кетиши мүмкүн. TCP профилин жөнөкөй алмаштыруу деп эсептегенге чейин параметрдин ташуу талабын окуңуз.
Башка ташуу тийбеген кемчиликтер
Мөөнөтү өткөн сертификат дагы эле саат текшерүүсүн же жаңыртууну талап кылат, ал эми четке кагылган аккаунт дагы эле туура каттоо маалыматтарын талап кылат. Оператор берген сервердин идентификациялык текшерүүлөрүн сактаңыз, анткени тааныш порт номери эч кимди аутентификациялабайт. Жооп берген порт бир нерсе угуп жатканын гана айтат.
Туннел көтөрүлүп, багыттор дагы эле иштебей жатса, калган маселе — туташуудан кийинки маршруттоо же аттарды чечүү, ташуу эмес. Портторду айланып жүрүүнүн ордуна ошол жолду ээрчиңиз, анткени түштөн кийинки убакыт ушундай жоголот. Профиль кайсы ташууну сынап көрүүнү айтат; UDP жолу эмнеге ишке ашпаганын ал эч качан айтпайт.