Blockéiert den ISP UDP, oder ass et d'App am Tunnel?

Een mellt, d'VPN „blockéiert UDP“, an dëse Saz verstoppt zwee ganz ënnerschiddlech Behauptungen. Déi eng geet ëm den Transport, deen den Zougangsnetz ka gesinn, déi aner ëm d'Pakete vun enger Applikatioun nodeems se am Tunnel entschlësselt goufen. En verschlësselten Tunnel kann vu baussen ouni ee Schlëssel gefiltert ginn, an eng bannenzeg UDP-Applikatioun kann aus Grënn feelen, déi näischt mat Filterung ze dinn hunn. Entscheet, wéi eng Behauptung Dir test, ier Dir Beweiser sammelt.

Zwee Headeren, ee Wuert

An enger IPsec-Installatioun mat NAT-traversal ass dat äussert Paket UDP, adresséiert tëscht den zwee VPN-Endpunkten, typesch op Port 4500. Dodra dréit déi verschlësselt Notzlaascht alles, wat den Tunnel viruleet, a wat selwer TCP oder UDP ka sinn. D'Wuert UDP erschéngt also zweemol, mat ënnerschiddlecher Bedeitung an ënnerschiddlecher Visibilitéit.

En tëschentleien Netz gesäit den äusseren Header an näischt vum bannenzegen. Et kann den äusseren Floss erlaben, formen oder verwerfen, an et muss dofir näischt entschlësselen. Dës Asymmetrie ass de ganzen Grond, firwat déi zwou Behauptungen verwiesselt ginn: dat selwecht Wuert beschreift, wat den Netz filtert, an wat d'Applikatioun schéckt. Schreift d'Schicht niewent d'Wuert, wann Dir ëmmer eng Feststellung notéiert, an d'Verwiesslung verschwënnt gréisstendeels.

Den bannenzege Header gëtt eréischt um empfangenden Endpunkt sichtbar, no der Entschlësselung. Vun deem Punkt un gëtt d'Paket wéi all anert virugeleet, ënnerleien un Trajets, Politik an der eege Filterung vum Endpunkt. Dat si getrennt Entscheidungen, déi verschidden Apparater huelen.

Wat den Netz nach ka gesinn

Verschlësselung verstoppt d'Notzlaascht an den bannenzege Transportheader, net d'Tatsaach, datt et en Floss gëtt. Endpunktadressen, Porten, Paketgréissten an Timing bleiwen sichtbar, an dat duet, fir Trafick heuristesch ze klassifizéieren oder en bestëmmt Zil ze blockéieren.

sudo tcpdump -ni eth0 'udp port 4500'
sudo tcpdump -ni tun0 'udp port 5201'

Déi éischt Opnam weist den äusseren Floss op der physescher Interface, an déi zweet den bannenzegen Floss op der Tunnel-Interface. Béid gläichzäiteg lafe loossen beäntwert d'Fro direkt: wann den äusseren Floss existéiert an den bannenzegen net, huet d'Applikatioun ni eppes an den Tunnel geschéckt. Wann béid existéieren an näischt zréckkënnt, läit de Problem hannert dem Tunnel, um Zil oder um Zréckwee.

RFC 3948 definéiert d'äusser UDP-Kapselung, an d'ESP-Spezifikatioun definéiert de geschützten Layout dodra. Keent vun den zwou Dokumenter versprécht, datt en Zougangsnetz den äusseren Floss duerchléisst, dofir ass et derwäert, en Erreechbarkeetstest um äusseren Tuple ze maachen, ier Dir eng Theorie iwwer de bannenzegen hutt. En blockéierten äusseren Tuple ergëtt en Tunnel, deen ni entsteet, net en Tunnel, deen entsteet an dann eng Applikatioun verléiert.

Firwat eng UDP-App an engem funktionéierenden Tunnel feelt

En Tunnel, deen eng Webapplikatioun dréit awer keng UDP-Applikatioun, huet verschidde plausibel Erklärungen, an d'Filterung vum bannenzege Protokoll duerch den ISP ass net déi éischt. Am heefegsten ass d'Ofdeckung: déi zwou Applikatiounen kommen net béid an de selwechten Tunnel, well den Trajet zum UDP-Zil feelt oder d'Split-Tunnel-Regele vum Client et ausschléissen.

Déi zweet ass den Endpunkt. En VPN-Server, deen eng Protokollëscht erlaabt, eng Firewall um Zil, oder en Service, deen ni op dem erwaarten Port lauschtert, produzéieren all eng Zäitiwwerschreidung, déi identesch mat enger Netzsperr ausgesäit.

Déi drëtt ass d'Paketgréisst. UDP-Applikatioune schécken dacks méi grouss Datagramme wéi eng Webufro, an d'Kapselung reduzéiert d'notzbar MTU, sou datt no engem gelungenen Handshake Stille bei der éischter voller Notzlaascht kënnt. Dëst Muster ass liicht als Sperr ze mëssverstoen, well déi kleng Pakete duerchkommen an déi grouss verschwannen. Eng séier MTU-Probe entscheet et a manner wéi enger Minutt, an d'Äntwert ass meeschtens eng méi kleng Notzlaascht oder eng korrigéiert MSS, net en Netzwfilter.

ping -M do -s 1400 -c 2 10.60.0.20
iperf3 -u -c 10.60.0.20 -p 5201 -b 1M -t 5

Den éischte Befehl test, ob en groussen Paket de Wee mat ausgeschaltener Fragmentéierung iwwersteet, wat e MTU-Problem séier opdeckt. Den zweete schéckt en klengen, begrenzten UDP-Floss a mellt Verloscht a Jitter. En Floss, deen ufänkt an dann stockt, weist op d'Gréisst, net op eng Sperr.

Mellt d'Schicht, net de Protokoll

Schreift d'Feststellung an enger vun dräi Formen: äusser Liwwerung feelt, bannenzeg Viruleedung feelt, oder d'Applikatioun feelt. Jiddwereen huet en anere Responsabele, an hir Vermëschung schéckt den Ticket an dat falscht Team.

En lokale Port z'änneren kann um wäitem Enn keen passenden Lauschterer schafen, dofir ass eng Client-Säit-Léisung, déi ze hëllefen ausgesäit, meeschtens e Beweis, datt dat ursprénglecht Zil falsch war. Genee esou bewäist en ugeliwerten alternativen Profil eppes iwwer d'Erreechbarkeet an näischt doriwwer, ob d'Applikatioun richteg konfiguréiert ass.

Halt d'Schlussfolgerung och getrennt vun der Observatioun. Trafickanalyse kann uginn, wat en Floss ass, ouni en ze entschlësselen, an dat ass eng nëtzlech Feststellung, awer et ass net déiselwecht Behauptung wéi den bannenzege Header ze liesen. Sot, wat Dir tatsächlech hutt.