Firwat vill Appverbindungen eng OpenVPN-Sitzung deelen

Stellt Iech e Browser vir, deen eng HTTPS-Säit lued, während en SSH-Client en anere Server erreecht an en Opléiser eng Fro beäntwert, alles duerch eng OpenVPN-Sitzung. Op der physescher Schnëttstellt gesitt Dir ee Gespréich; bannent dem Tunnel gesitt Dir dräi. Béid Usiichte si richteg, an ze wëssen firwat ass den Ënnerscheed tëscht enger nëtzlecher an enger verwirrender Opnam. Follegt engem banneschten Floss vum Socket bis op den Drot, an d’Schichtung hält op abstrakt ze sinn.

Ee baussecht Gespréich, vill banneschte Flëss

All Applikatioun mécht hire eigenen Socket op, an de Kernel gëtt him en Tupel vu fënnef Elementer: Quelladress, Quellport, Destinatiounsadress, Destinatiounsport a Protokoll. Dës Tupelen existéieren, ier en Tunnel iwwerhaapt am Spill ass. Duerno entscheet d’Routing, datt se all duerch den Tunnelapparat erausgoen, dofir dréit de Pak, deen un OpenVPN iwwergëtt, nach ëmmer déi ursprénglech Header banne sech. OpenVPN verschlësselt dee banneschte Pak a wéckelt d’Resultat an ee baussecht UDP- oder TCP-Gespréich mam Peer. Dat baussecht Gespréich ass also eent, während d’Flëss dobannen esou vill sinn, wéi d’Applikatiounen opgemaach hunn.

Näischt fält auserneen. Déi banneschte Tupelen iwwerliewen vun Enn zu Enn, an dofir kann déi wäit Säit nach ëmmer déi dräi Flëss ënnerscheeden.

De Port, dee fest bleift

Konstant bleift den baussenzegen Tupel: Är Adress, de lokale Port, deen de Client gebonnen huet, d’Adress vum Peer an de konfiguréierte Serviceport. Genee deen Tupel muss eng Firewall oder en NAT um Wee erlaben, a genee deen weist eng Opnam um Uplink. Et ass och deen, deen no enger Reconnectioun oder engem Netzwierkwiessel ännert, well de Client en anere lokale Port banne kann. En Tunnel bedeit net ee fixe Quellport fir ëmmer.

Déi banneschte Porte sinn dat, wat fir d’Endpunkter wichteg ass. En HTTPS-Floss hält den Destinatiounsport 443 bannent dem Tunnel, och wann den baussenzege Transport op deem Port sëtzt, deen den Operateur konfiguréiert huet. D’Endpunkte vun der Applikatioun gewuer ni eppes vum baussenzegen.

Wat d’Decapsulatioun um wäiten Enn ännert

Beim Peer gëtt déi baussecht Schicht ofgeholl, an de banneschte Pak ass dat, wat iwwreg bleift. Vun do un gëllen d’Weiderleedung an d’Zougrëffspolitik fir déi banneschte Destinatioun an de Protokoll. De Webserver kritt nach ëmmer eng HTTPS-Verbindung, den SSH-Daemon kritt nach ëmmer SSH, an den Opléiser kritt nach ëmmer eng Fro.

Dofir ass eng Regel, déi den baussenzegen Transport erlaabt, net déiselwecht Regel wéi eng banneschte Service ze erlaben. Déi éischt beschreift e Wee; déi zweet beschreift eng Autorisatioun.

Baussenzege TCP heescht ee Floss, net eng Verbindung

Wann den baussenzege Transport UDP ass, ass d’Schicksal vun all banneschte Floss onofhängeg: en verluerene Datagramm beaflosst eng Iwwerdroung bis zu senger eegener Neisendung. Wann den baussenzege Transport TCP ass, deelen all banneschte Flëss ee zouverlässegen Bytefloss.

Dee gedeelten Floss ass deen Deel, deen d’Leit iwwersinn. D’Erhuelung geschitt eemol, fir alles, dofir verspéit ee verluere Segment den Trafic vun all Applikatioun, déi dobannen multiplexéiert ass. Et sinn nach ëmmer vill Verbindungen un den Endpunkten an eng Verbindung um Drot, an um Drot lieft den Head-of-Line-Effekt. D’Zuel vun de lauschterende Porten seet Iech näischt doriwwer, an dofir ass Porte zielen eng schlecht Manéier, iwwer d’Performance vum Tunnel ze denken.

Beschreift Är eege Konfiguratioun genee

Nennt den ausgewielten banneschten Trafic an den spezifeschen baussenzege Transport, deen en dréit, amplaz ze soen, d’Maschinn schéckt alles duerch ee Port. Lokal Servicer, en zweeten Tunnel an déi aner Adressfamill schafen all Flëss, déi ni an dëst Gespréich kommen. Eng Opnam um Uplink weist den baussenzegen Tupel; eng Opnam bannent dem Tunnel weist déi banneschten.

Huet béid, a setzt d’Zäitstempelen niewenteneen. Wann Dir musst beweisen, wéi eng Applikatioun wéi ee banneschte Floss hiergestallt huet, ass den Sockettabell um Host dat besser Instrument, well en d’Porten direkt mat de Prozesser verbënnt. Schreift da béid den observéierten baussenzegen Tupel an de Moment vun der Observatioun op, well déi nächst Opnam no enger Reconnectioun ka berechtegt aner Zuelen weisen.