Kodėl VPN adapterio pavadinimas gali slėpti kitą protokolą
Etiketė prie adapterio aprašo jį sukūrusią programinę įrangą, o ne tinkle einančius paketus. Prieš rinkdamiesi sprendimą patikrinkite klientą, profilį ir partnerį.
Etiketė prie VPN adapterio aprašo programinę įrangą, kuri sukūrė sąsają, ir tai yra vienu sluoksniu aukščiau už paketus, kurie iš tikrųjų kerta tinklą. Papildinys gali parodyti adapterį, kurio pavadinimas atspindi paties papildinio klasifikaciją, o ne inkapsuliavimą tinkle. Kliento, profilio ir partnerio skaitymas atsako į tai, į ką pavadinimas negali atsakyti. Du ryšiai, kurie nustatymų meniu atrodo identiškai, įraše gali elgtis visiškai skirtingai.
Pavadinimas kyla iš teikėjo, o ne iš tinklo
Windows apibrėžia trumpą ryšio tipų sąrašą savo įtaisytiems VPN klientams, o trečiųjų šalių produktai šalia jų įdiegia savo steką. Tinklelio sąraše atsirandantį adapterį sukuria tvarkyklė, kuriai priklauso ryšys, todėl jo pavadinimas yra įrodymas apie tvarkyklę, o ne garantija apie išorinį protokolą. Štai kodėl pašalinus vieną klientą gali likti adapterio pavadinimas.
Microsoft dokumentacija apie VPN ryšio tipus aiškiai nurodo, kad tipas aprašo kliento konfigūraciją tam ryšiui. Kai dalyvauja papildinys, rodomas tipas seka tai, ką registruoja papildinys, o tikrasis inkapsuliavimas gali būti visai kas kita.
Tas pats sluoksniavimas pasitaiko ir kitur. Virtualus adapteris Linux hoste, TAP įrenginys ar mobiliojo VPN serviso plėtinys yra sąsajos, kurias sukuria programinė įranga, ir sąsajos pavadinimą pasirenka ta programinė įranga, o ne derasi su serveriu.
Ką portai ir adresai gali ir ko negali pasakyti
Kiekvienas sluoksnis palieka skirtingus įrodymus. Skaitykite juos atskirai ir etiketė nustoja būti nuosprendžiu:
| Evidence | What it establishes | Where it misleads |
|---|---|---|
| Adapter name | Which driver bound the interface | Plugins choose their own labels |
| Profile file | Which client consumes the configuration | Abstraction layers hide the transport |
| Outer port | Which port the peer accepts | 443 carries several protocols plus HTTPS |
| Tunnel address | The inner interface's network | Says nothing about encapsulation |
TCP 443 yra aiškiausias pavyzdys. Jis gali perduoti SSTP, OpenVPN TCP tunelį, SoftEther SSL-VPN sesiją ar įprastą žiniatinklio srautą, ir vienas porto numeris negali jų atskirti. Todėl ugniasienės taisyklė, leidžianti 443, nėra įrodymas, kuris klientas naudojamas. Įrašas išorinėje sąsajoje tai išsprendžia ir išsprendžia per sekundes.
Skaitykite profilio formatą ir partnerį
Konfigūracijos failas yra stipresnė užuomina nei adapteris. OpenVPN profilyje yra direktyvų, tokių kaip remote, proto ir ca; WireGuard konfigūracijoje yra [Interface] skyrius su privačiu raktu ir [Peer] skyriai su leidžiamais IP; Windows telefonų knygos įrašas saugo ryšio tipą savo formatu. Kiekviena sintaksė priklauso vienai implementacijai.
Tada pažiūrėkite į partnerio dokumentaciją ir žurnalus. Serveris žino, kuris protokolo apdorotuvas priėmė sesiją, o jo žurnalas įvardija užbaigtą etapą. Šis įrodymas pranoksta bet kokią darbalaukio etiketę, nes jis įrašomas ten, kur paketai iš tikrųjų buvo interpretuoti.
Pasirinkite vadovą pagal protokolą, o ne pagal etiketę
OpenVPN direktyva priklauso OpenVPN, WireGuard raktai ir leidžiami IP priklauso WireGuard, o SSTP profilis nėra nė vienas. Vieno kliento parinktį įklijuoti į kitą todėl, kad adapterio pavadinimas skambėjo suderinamai, yra būdas sugadinti veikiančią konfigūraciją.
Nustačius protokolą, pasirinkite atitinkamą trikčių šalinimo kelią: paties kliento žurnalą, serverio žurnalą, būdingą protokolui, ir įrašą, rodantį išorinius mainus. Nuo tada gedimas turi pavadinimą, o ne etiketę.