Hëlleft TCP 443 wierklech? Nëmmen wann de Server do lauschtert
En TCP-Profil ass eng Auswäich, net eng Verkleedung. Préift ob de Server op deem Port lauschtert, a waacht dann d'Käschte vum duebele TCP géint Onereechbarkeet.
TCP 443 ass eng Auswäich mat enger Viraussetzung, net eng Verkleedung, déi en Tunnel duerch all Filter schlüüft. Et hëlleft, wann den Operateur schonn en TCP-Lauschterer op deem Port publizéiert an de Wee eng Verbindung verdréit, déi Stonne laang op bleift. Et schléit fehl, meeschtens als Zäitlimite, wann eng vun deenen zwee fehlt, an d'Zäitlimite seet seelen wéi eng. D'Decisioun fir ze wiesselen brauch dräi Froen, an nëmmen eng dovu geet ëm d'Portnummer.
Eng Portnummer ass kee Verspriechen iwwer den Transport
E Port nennt en Endpunkt; TCP mécht en zu engem geuerdneten Byte-Stroum; OpenVPN decidéiert, wat bannent deem Stroum reest. E Webserver op der selwechter Nummer benotzt eng ganz aner Applikatiounsopstellung, sou datt de gemeinsamen Port 443 déi zwee fir e Filter ähnlech ausgesi mécht an net méi. D'Nummer ass en Hiweis, deen e Filter liest, keng Eigenschaft, déi ännert wat d'Pakete enthalen. Se als d'selwecht ze behandelen, well se e Port deelen, ass de Feeler hannert dem gréissten Deel vun der Duercherneen hei.
Tëschegeräter treffen seelen eng einfach Erlaabnes-oder-Verbuet-Decisioun iwwer e Port. Vill ënnersichen déi éischt Bytes, e puer fixéieren en Zil, an e puer setzen Verbindungen zréck, déi ze laang op bleiwen. Dofir kann dee selwechte Profil aus engem Netz funktionéieren an aus engem aneren an d'Zäitlimite lafen, an dofir ass eng Auswäich et wäert als ënnerstützte Optioun ze testen amplaz hir als Verspriechen ze vertrauen. Wann e Filter den Trafik ënnersicht, ass d'Portnummer just dat Éischt, wat en ukuckt.
Bestätegt de Lauschterer, ier Dir de Profil beréiert
De Server muss fir TCP op dem Port konfiguréiert sinn, an de Client-Profil muss dee selwechten Transport froen. En UDP-Profil ëmschreiwen, fir TCP ze froen, schaaft den Lauschterer net, an d'Zäitlimite, déi duerch entsteet, ass net vun enger Firewall z'ënnerscheeden, déi de Port fale léisst. Luet den eegene TCP-Profil vum Operateur erof, wann et ee gëtt, well verschidden Déngschter en separate Endpunkt an separat Identitéitsastellungen fir all Transport publizéieren. Handmaachess ass gutt fir en kontrolléierten Test an eng schlecht Manéier, fir d'virgesi Konfiguratioun vun engem Ubidden ze roden.
Déi zwou Säite vun deem Matcher kommen an der Konfiguratioun vir, an d'Linkoptiounen vum OpenVPN-Projet dokumentéieren déi zwou Formen. De minimale Puer gesäit esou aus:
# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443Dräi Konditioune entscheeden, ob d'Auswäich sech lount
Déi éischt Konditioun ass, datt den Operateur den Transport iwwerhaapt ubitt; ouni deen zielt näischt anescht. Déi zweet ass, datt de Wee eng laanglieweg Sitzung lieweg hält, well verschidden Netzwierker Verbindungen zrécksetzen, déi oppen bleiwen, amplaz de Port gläich ze blockéieren. Déi drëtt ass, ob d'Auswäich eng bewosst Ausnam ass oder eng Noutléisung, déi e Feeler verstoppt, deen Dir net behuewen hutt.
All Konditioun huet eng bëlleg Kontroll. E Feelschlag bei enger vun hinne gesäit vum Client aus d'selwecht aus:
| Condition | How to check it | What a failure decides |
|---|---|---|
| The server offers TCP | The operator's profile list, or a listening-socket check on the server | No client-side edit can help |
| The path keeps long sessions | A test connection left open for an hour | Reconnects will look like server faults |
| The fallback is deliberate | A change record naming the UDP fault | The underlying fault stays invisible |
Ier Dir Transporter vergläicht, fäerdeg all Umeldung op engem Captive Portal of. En Netz, dat Äert Apparat net zougelooss huet, blockéiert béid Transporter, an dann moosst de Verglach de Portal an net den Tunnel. Mell Iech un, bestätegt datt normal Surfen funktionéiert, a fänkt just duerno den Test un.
D'Käschte, déi Dir akzeptéiert: TCP bannent TCP
TCP schéckt verluer Segmenter nach en Kéier a behält hir Reihenfolge. Wann eng Applikatioun, déi och TCP benotzt, bannent engem TCP-Tunnel leeft, reagéieren zwou Erhuelungsschichten op dee selwechte Verloscht, an genau déi Interaktioun mécht den Tunnel lues op engem Wee mat Verloschter. D'Symptom ass Verzögerung a Jitter amplaz e proppere Feeler, wat et einfach mécht, deene wäiten Enn d'Schold ze ginn. Messt vum Client ënner béide Transporter, ier Dir eng Conclusioun zitt.
UDP ëmgeet dës Schachtelung, an dat ass de Haaptgrond, firwat d'Operateuren et virzéien an TCP nëmmen als Alternativ ubidden. Eng stabil TCP-Verbindung ass nach ëmmer nëtzlecher wéi eng onereechbar UDP-Verbindung, dofir ass de Verglach tëschent zwee reelle Käschten an net tëschent enger gudder an enger schlechter Optioun. Halt d'Apparat an den Zougangsnetz fest, während Dir vergläicht, soss beschreift d'Resultat déi falsch Variabel.
Verschidden Client-Funktioune sinn nëmmen fir een Transport dokumentéiert, sou datt en Auswäichsprofil d'Verhalen, op dat Dir ugewisen waart, stëllem fale léisst. Liest d'Transportfuerderung vun der Optioun, ier Dir den TCP-Profil als einfachen Tausch behandelt.
Feeler, déi en aneren Transport net beréiert
En ofgelaafene Certificat brauch nach ëmmer eng Auerkontroll oder eng Erneierung, an e refuséierte Kont brauch nach ëmmer déi richteg Umeldungsinformatiounen. Behalt d'Server-Identitéitskontrollen, déi den Operateur geliwwert huet, well eng vertraut Portnummer keen authentifizéiert. E Port, deen äntwert, seet just datt eppes lauschtert.
Wann den Tunnel eropkënnt an d'Ziler nach ëmmer feelen, ass de Reschtproblem Routing oder NummOpléisung no der Verbindung, net den Transport. Follegt deem Wee amplaz duerch Porte ze kreien, well esou verschwënnt en Nomëtteg. De Profil seet Iech, wéi en Transport ze probéieren; en seet Iech ni, firwat de UDP-Wee versot huet.