VPN порт талаптары: салыштыруудан мурун жазылуучу үч сап
Чындап кайсы порт суроосу бар экенин аныктаңыз: сыртка чыгуучу багыт, ичке жарыялоо же туннелдин өз ташуусу. Анан провайдерден ушунү гана сураңыз.
VPN кызматтарынын порт тизмелери салыштыруу барактарынын ортосунда алардын маанилүү экенин аныктаган деталсыз көчүрүлөт: байланышты ким баштайт. Сыртка чыгуучу TCP 443 уруксат берген эреже башка хосттун сиздин машинаңыздагы угуучуга жете алары тууралуу эч нерсе айтпайт. Бир планды салыштырганга чейин үч өзүнчө талап жазыңыз жана тапшырмаңызга кайсынысы чындап керек экенин белгилеңиз. Ошол барак болсо, салыштыруулардын көбү бир кыска суроого топтолот.
Каалаган порт тизмесин окуудан мурун талапты бөлүңүз
Үч сап дээрлик бардык учурларды камтыйт: туннелдин сыртындагы багытка жетүү, башкалар ичке туташа алышы үчүн бир нерсе жарыялоо жана туннелдин өзүн ташуу. Ар бир сап башка себептен улам ишке ашпайт, ал эми бирин канааттандырган провайдер саясаты калган экөөнө тийбеши мүмкүн. Тапшырманы туура сапка жайгаштыруу беш мүнөт алат жана кийинки талашты үнөмдөйт.
| Line | Who starts it | What can block it | Question for the provider |
|---|---|---|---|
| Outbound destination | Your application | Egress filter on the exit node | Is this protocol and port allowed to that destination? |
| Inbound publishing | A remote peer | No mapping, no public address, short lifetime | Which protocol, which external port, and how long does the mapping last? |
| Tunnel transport | Your client to the gateway | The access network drops that protocol | Does the client offer a fallback the local network permits? |
Маркетингдик билдирүүлөр үч сапты атайын бүдөмүк кылат. P2P уруксаты багыт саясатын сүрөттөйт, атайын дарек даректи сүрөттөйт, ал эми портторго чектөө жок деген ырастоо адатта план аларды тизмебей турганын билдирет. Бул сүйлөмдөрдүн эч бири калгандарына жооп бербейт.
Бир конкреттүү агымды тандап, аны сүйлөм катары жазыңыз: баштоочу, ташуу, порт, даректер үй-бүлөсү, багыт. Алыскы хостко жүктөгөн түнкү камдык көчүрмө кардары гана сыртка чыгат. Үстөлүңүздөгү достор кошулган оюн сервери ичке кирет. Экөөнү бир туннелден өткөрүү баракка эки сап тең керек экенин билдирет, алардын ортосундагы компромиссти эмес.
Сыртка чыгуу туннелде эмес, багыт саясатында ишке ашпайт
Которуучу шлюз аркылуу сыртка чыккан трафик абалды жаратат. Ички дарек жана порттон келген биринчи пакет котормо жазуусун курат, ал эми жооптор ага дал келет, бул RFC 3022 ичинде сүрөттөлгөн карталоо жүрүм-туруму. Браузердин өтмөгү адатта порт сурамы жок иштешинин себеби ушул механизм.
Эки нерсе аны дагы эле бузат. Чыгуу түйүнү терс пайдаланууга болот деп эсептеген багыттарды же порт номерлерин чыпкалашы мүмкүн, ал эми колдонмо чыгуу саясаты күтпөгөн портто угуп жатышы мүмкүн. Ичке кирүүчү эрежелер жөнүндө эмес, багыт жуптугу жөнүндө сураңыз жана TCP менен UDP үчүн ар башка жооп күтүңүз.
Талашканга чейин өлчөңүз. Буларды туннелдин артында тура турган машинада аткарыңыз, бир жолу туннел өчүк жана бир жолу күйүк абалда:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://example.com
Ушундай эле буйруктар, ушундай эле багыт, туннелдин эки абалы операторго аракет кыла ала турган мурунку-кийинки салыштырууну берет. Документация дарегин чындап керектүү хост менен алмаштырыңыз; маанилүүсү салыштыруунун кайталанышы, кандайдыр бир сандын таасирдүү көрүнүшү эмес.
Ичке жарыялоо карталоону, даректи жана өмүр узактыгын талап кылат
Сырттан эч нерсе сиздин угуучуңузга байланыш баштай албайт, эгер коомдук тарапта бир нерсе аны кайда жеткирүүнү билбесе. Оператор кармаган статикалык порт резерви, кардар UPnP, NAT-PMP же PCP аркылуу сураган карталоо жана маршрутталган коомдук дарек — бул үч башка продукт, үч башка чектөө менен.
Алардын кайсынысы болбосун жөнүндө беш суроо бериңиз: кайсы протокол, кайсы тышкы порт, тышкы порт жергиликтүүдөн башка боло алабы, кайсы даректер үй-бүлөсүн камтыйт жана кайра туташкандан кийин карталоо канча турат. Активдүү сессияга байланган резерв ошол сессия бүткөндө жоголот, план баракчасы эмне десе да.
Алгач жергиликтүү жарымын ырастаңыз, анткени өлүк угуучу жана тосулган ичке кирүүчү жол сырттан бирдей көрүнөт:
ss -lntup | grep -E ':(8080|51820)\b'
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
Жергиликтүү сурам 200 кайтарса, ал эми сиз көзөмөлдөбөгөн тармактан келген сурам дагы эле убакыттан өтүп жатса, алдыңкы айырма коомдук тарапта. Колдонмону аты менен сүрөттөөнүн ордуна операторго протокол менен тышкы портту айтуу керек болгон учур ошол.
Туннелдин өз ташуусу өзүнчө суроо
Ташуучу порттор маселенин эң кичине бөлүгү жана эң оңой изделүүчүсү. Демейки маанилер протоколго жараша өзгөрөт, ал эми кардар келише алган нерсе каалаган план сүрөттөмөсүнөн маанилүүрөөк.
| Client | Outer transport | Default port | When it helps |
|---|---|---|---|
| OpenVPN | UDP | 1194 | Default mode; needs outbound UDP to pass |
| OpenVPN | TCP | 443 | UDP is dropped and TCP 443 is not |
| WireGuard | UDP | 51820 | Short handshake; there is no TCP mode |
| IKEv2/IPsec | UDP | 500 and 4500 | Mobile clients; 4500 carries NAT traversal |
Сыртка чыгуучу UDP-ны таштаган тармак TCP 443 туннелин кабыл алып, UDP туннелинен баш тартат, ошондуктан камдык режим талаптар баракчасына таандык. Ташуучуну алмаштыруу туннелдин ичиндеги колдонмо портун жылдырбайт жана багыт саясатын кеңейтпейт; алар өз саптарында кала берет.
Фрагментация ошол жерде жүргөндө бир текшерүүгө татыктуу, анткени туташып, анан чоң өткөрүүлөрдө токтоп калган туннелде адатта жабык порт эмес, туура эмес MTU болот:
ping -M do -s 1400 203.0.113.10 ping -M do -s 1372 203.0.113.10
Windows-то ошол эле текшерүү — ping -f -l 1400 203.0.113.10. Өтүүчү эң чоң өлчөмдөн төмөн туннелдин MTU-сун коюңуз, анан ишке ашпаган өткөрүүнү кайра текшериңиз.
План үчүн төлөөдөн мурун үч сапты текшериңиз
Үч сапты бир баракка коюп, ар бир уячаны убада эмес, өлчөнгөн натыйжа менен толтуруңуз. Бул буйруктар ошол барактын жергиликтүү жарымын болжол менен бир мүнөттө чыгарат:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
ping -M do -s 1400 203.0.113.10
Чыгууну текшерүү тизмеси катары окуңуз. Туннел күйүк кезде багыт жооп берсе, сыртка чыгуу иштейт. Ичке кирүү сиздин тармагыңыздан сырттагы хост тышкы порттогу угуучуга жеткенде гана иштейт. Ташуучу сиздин кирүү тармагыңыз уруксат берген протоколдо кол алышуу бүткөндө иштейт.
Эки адат баракты чынчыл кармайт. Ар бир натыйжанын жанына күнү менен кардардын версиясын жазып туруңуз, анткени провайдерлердин саясаттары да, кардарлардын демейки маанилери да кыймылдайт. Анан агымга кызмат кылган эң тар карталоону сураңыз, анткени баарын ачуу өтүнүчү адатта техникалык жооптун ордуна баш тартуу же кошумча сатуу алып келет.