UDP ар дайым тез эмес: OpenVPN транспортун тандоо

Ар бир колдонмо OpenVPN үчүн UDP TCPден жакшы деп айтат, бирок бул кеңеш өлчөө эмес, демейки параметр. Транспорт пакеттердин кантип жеткирилишин жана жол аларды таштаганда эмне болорун өзгөртөт, туннелдин кантип шифрланышын эмес. Captive portal же 443 портуна гана уруксат берген проксинин артында байланышкан жалгыз вариант — баяыраак вариант. Төмөндөгү протокол эмне кылаарын жана сиздин кирүү тармагыңыз эмнеге уруксат берерин ажыратат.

Транспорт чындыгында эмнени өзгөртөт

TCP ишенимдүү, тартиптелген байт агымын берет жана жоголгондун баарын кайра жөнөтөт, RFC 9293 аныктагандай. UDP датаграммаларды тармакка өткөрүп берет, ал эми OpenVPN ошол сокеттин үстүндө өзүнүн ишенимдүүлүк катмарын иштетет. TCPни TCP ичинде инкапсуляциялоо эки калыбына келтирүү циклин катмарлайт, ошондуктан бир жоголгон сегмент ички агымды кармап турушу мүмкүн, тышкы кайра жөнөтүү келгенче. Ушул өз ара аракет — UDP үчүн чыныгы далил, жана ал өткөрүү жөндөмү эмес, кечигүү катары көрүнөт.

Таасир жоготуу жана барып-кайтуу убактысы менен өсөт. Таза жергиликтүү жолдо эки транспорт тең бирдей сезилет, ошондуктан лабораториялык сыноо даттанууну сейрек кайталайт. Кысылган мобилдик звенодо айырмачылык чоң өткөрүү эч нерсени байкаганга чейин интерактивдүү сессияларда эрте көрүнөт.

Булардын эч бири купуялуулукка же бүтүндүккө тиешеси жок. TLS кол алышуусу жана маалымат каналынын шифри эки транспорт үчүн тең бирдей, ошондуктан которулуу алсыз шифр жыйындысын сактап калбайт.

TCP өз ордун кайда табат

Кирүү тармактары — TCP тандоонун кадимки себеби. Мейманкана, аэропорт же конок тармагы сыртка чыгуучу 443ке уруксат берип, калганын ташташы мүмкүн, ал эми ошол порттогу TCP угуучу — иштеген жалгыз профиль. Бул жеткиликтүүлүк, өндүрүмдүүлүк эмес, жана өзү эле жетиштүү себеп.

TCP жол туруктуу, бирок ортоңку түзмөктөр душман болгондо да жардам берет. Айрым тармактар кадимки веб-трафикке окшош TCP сессияларын көтөрүп, узак UDP агымдарын кайра коюшат. Бул окшоштук ийгиликтүү болобу — конкреттүү тармактын касиети, жана бир да колдонмо аны баары үчүн убада кыла албайт. Протоколду күнөөлөөдөн мурун ийгиликсиз болгон тармактын ичинде сынап көрүңүз.

Четке кагылган кирүү транспорттун көйгөйү эмес. Байланышты күч менен өткөрүү үчүн сертификатты текшерүүнү өчүрүү — натыйжасы алда канча начар башка өзгөртүү.

TCP профилин даяр кармоо — практикалык компромисс. Көпчүлүк кардарлар экөөнү тең сактап, тармак UDP жолун четке какканда которууга уруксат берет, бул керек болгонго чейин эч нерсе турбайт. Кылбашыңыз керек нерсе — ар башка акыркы чекиттерге багытталган эки профилди жеткирүү, анткени анда салыштырууңуз серверлерди өлчөйт.

Чындыгында кайсы угуучу бар экенин текшериңиз

Өндүрүмдүүлүктү салыштыруудан мурун эки тарап тең транспорт жана порт боюнча макул экенин ырастаңыз. Кардар файлындагы proto udp дегенди proto tcp ге алмаштыруу сервер угуучусун жаратпайт. Сервер ошол протоколго конфигурацияланышы керек, ал эми профиль ага дал келиши тийиш.

grep -E '^(proto|port|remote)' /etc/openvpn/server.conf
ss -lunp | grep openvpn
ss -ltnp | grep openvpn

grep серверге эмнени колдонуу керектиги айтылганын басып чыгарат, эки сокет тизмеси болсо эмнеге байланганын көрсөтөт. UDP угуучу биринчи тизмеде гана, TCP угуучу экинчисинде гана көрүнөт, ошондуктан жок сап — эч качан колдонулбаган профилди табуунун эң тез жолу. Портту да салыштырыңыз, анткени 1194төгү TCP профили көпчүлүк кирүү тармактарында 443төгүдөн башкача аракет кылат. Өзгөртүүдөн кийин кызматты кайра баштап, байланыш тууралуу билдирген журнал сабын окуңуз.

Кардар тараптагы ырастоо арзан: байланышты --verb 4 менен иштетип, журналдагы транспорт сабын окуңуз. Эгер кардар UDP деп, сервер TCPде угуп турса, кол алышуу эч качан башталбайт жана эч кандай жөндөө жардам бербейт.

Транспорттун белгисин эмес, жумуш жүгүн салыштырыңыз

Адилет салыштыруу транспорттон башканын баарын туруктуу кармайт. Ошол эле түзмөк, ошол эле кирүү тармагы, ошол эле максаттуу хост, ошол эле колдонмо жана идеалдуу түрдө ошол эле сервер. Эки профиль ар башка хостторго багытталса, ошол хостторду да өлчөйсүз.

Ар бир иштетүү үчүн үч жыйынтык жазыңыз: туннель орнойбу, сакталабы жана тапшырма бүтөбү. Чоң өткөрүүлөр токтоп турганда иштеген кичине суроолор транспортту эмес, пакеттин өлчөмүн жана MTUну көрсөтөт. Кайталама туташуулар жолго же ортоңку түзмөктүн таймаутуна көрсөтөт.

Чындыгында туш болгон шарттарда иштеген профилди кармаңыз, экинчисин да сактап коюңуз. Тандоо адамга эмес, тармакка таандык, ошондуктан ар кандай жалгыз демейки жооп бир жерде туура эмес.