VPN ostu prasības: trīs rindas, kas jāraksta pirms salīdzināšanas

VPN pakalpojumu ostu saraksti tiek kopēti starp salīdzināšanas lapām bez detaļas, kas nosaka, vai tiem ir nozīme: kurš sāk savienojumu. Noteikums, kas atļauj izejošo TCP 443, neko nepasaka par to, vai cits resursdators var sasniegt klausītāju jūsu mašīnā. Pirms salīdzināt kaut vienu plānu, uzrakstiet trīs atsevišķas prasības un atzīmējiet, kuras jūsu uzdevumam patiešām vajadzīgas. Kad šāda lapa pastāv, lielākā daļa salīdzinājumu saplūst vienā īsā jautājumā.

Atdaliet prasību, pirms lasāt jebkuru ostu sarakstu

Trīs rindas aptver gandrīz visus gadījumus: sasniegt galamērķi aiz tuneļa, publicēt kaut ko, lai citi varētu pieslēgties iekšā, un pārvadāt pašu tuneli. Katra rinda neizdodas cita iemesla dēļ, un pakalpojumu sniedzēja politika, kas apmierina vienu, var atstāt pārējās divas neskartas. Uzdevuma ievietošana pareizajā rindā aizņem piecas minūtes un ietaupa strīdu vēlāk.

Mārketinga apgalvojumi apzināti izpludina trīs rindas. P2P atļauja apraksta galamērķa politiku, īpašā adrese apraksta adresi, un apgalvojums, ka nav ostu ierobežojumu, parasti nozīmē, ka plāns tos neuzskaita. Neviens no šiem formulējumiem neatbild uz pārējiem.

Izvēlieties vienu konkrētu plūsmu un ierakstiet to kā teikumu: iniciators, transports, osta, adrešu saime, virziens. Nakts dublēšanas klients, kas augšupielādē uz attālu resursdatoru, ir tikai izejošs. Spēļu serveris uz jūsu galda, kam pievienojas draugi, ir ienākošs. Abu darbināšana caur vienu tuneli nozīmē, ka lapai vajadzīgas abas rindas, nevis kompromiss starp tām.

Izejošā piekļuve neizdodas galamērķa politikā, nevis tunelī

Izejošā plūsma caur tulkojošu vārteju rada stāvokli. Pirmais pakets no iekšējas adreses un ostas izveido tulkošanas ierakstu, un atbildes tam atbilst, kas ir RFC 3022 aprakstītā kartēšanas uzvedība. Šis mehānisms ir iemesls, kāpēc pārlūka cilne parasti darbojas bez jebkāda ostas pieprasījuma.

Divi aspekti to joprojām salauž. Izejas mezgls var filtrēt galamērķus vai ostu numurus, ko uzskata par ļaunprātīgi izmantojamiem, un lietojumprogramma var klausīties ostā, ko izejas politika nekad nav gaidījusi. Jautājiet par galamērķa pāri, nevis par ienākošajiem noteikumiem, un gaidiet atšķirīgas atbildes TCP un UDP gadījumā.

Mēriet pirms strīdēties. Palaidiet šos uz mašīnas, kas stāvēs aiz tuneļa, vienreiz ar izslēgtu tuneli un vienreiz ar ieslēgtu:

ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://example.com

Tās pašas komandas, tas pats galamērķis, divi tuneļa stāvokļi dod operatoram salīdzinājumu pirms un pēc, pēc kura rīkoties. Aizstājiet dokumentācijas adresi ar resursdatoru, kas jums patiešām vajadzīgs; svarīgi, lai salīdzinājums atkārtotos, nevis lai kāds skaitlis izskatītos iespaidīgi.

Ienākošajai publicēšanai vajadzīga kartēšana, adrese un darbības laiks

Nekas no ārpuses nevar sākt savienojumu ar jūsu klausītāju, ja vien kaut kas publiskajā pusē nezina, kur to piegādāt. Operatora turētā statiskā ostas rezervācija, klienta pieprasītā kartēšana caur UPnP, NAT-PMP vai PCP un maršrutēta publiskā adrese ir trīs dažādi produkti ar trim dažādām robežām.

Uzdodiet piecus jautājumus par jebkuru no tiem: kāds protokols, kāda ārējā osta, vai ārējā osta drīkst atšķirties no vietējās, kādu adrešu saimi tas aptver un cik ilgi kartēšana pārdzīvo atkārtotu savienojumu. Ar aktīvu sesiju saistīta rezervācija pazūd, kad šī sesija beidzas, lai ko teiktu plāna lapa.

Vispirms apstipriniet vietējo pusi, jo miris klausītājs un bloķēts ienākošais ceļš no ārpuses izskatās vienādi:

ss -lntup | grep -E ':(8080|51820)\b'
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080

Kad vietējais pieprasījums atgriež 200 un pieprasījums no tīkla, ko nekontrolējat, joprojām beidzas ar taimautu, plaisa ir publiskajā pusē. Tas ir brīdis, kad operatoram jānosauc protokols un ārējā osta, nevis jāapraksta lietotne pēc nosaukuma.

Paša tuneļa transports ir atsevišķs jautājums

Nesēja ostas ir mazākā problēmas daļa un visvieglāk atrodamā. Noklusējuma vērtības atšķiras atkarībā no protokola, un tas, par ko klients var vienoties, ir svarīgāks par jebkuru plāna aprakstu.

Tīkls, kas izmet izejošo UDP, pieņems TCP 443 tuneli un atteiksies no UDP, tāpēc rezerves režīms pieder prasību lapai. Nesēja maiņa nepārvieto lietotnes ostu tuneļa iekšienē un nepaplašina galamērķa politiku; tās paliek savās rindās.

Fragmentācija ir pelnījusi vienu pārbaudi, kamēr esat tur, jo tunelim, kas pieslēdzas un pēc tam iestrēgst lielos pārraidēs, parasti ir nepareizs MTU, nevis slēgta osta:

ping -M do -s 1400 203.0.113.10
ping -M do -s 1372 203.0.113.10

Operētājsistēmā Windows tā pati pārbaude ir ping -f -l 1400 203.0.113.10. Iestatiet tuneļa MTU zem lielākā izmēra, kas iziet cauri, un pēc tam vēlreiz pārbaudiet neizdevušos pārraidi.

Pārbaudiet trīs rindas pirms maksāšanas par plānu

Ielieciet trīs rindas vienā lapā un aizpildiet katru šūnu ar izmērītu rezultātu, nevis solījumu. Šīs komandas izveido lapas vietējo pusi aptuveni vienā minūtē:

ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
ping -M do -s 1400 203.0.113.10

Lasiet izvadi kā kontrolsarakstu. Izejošais darbojas, kad galamērķis atbild ar ieslēgtu tuneli. Ienākošais darbojas tikai tad, kad resursdators ārpus jūsu tīkla sasniedz klausītāju ārējā ostā. Nesējs darbojas, kad rokas spiediens tiek pabeigts protokolā, ko atļauj jūsu piekļuves tīkls.

Divi paradumi uztur lapu godīgu. Pierakstiet datumu un klienta versiju pie katra rezultāta, jo kustas gan pakalpojumu sniedzēju politika, gan klientu noklusējuma vērtības. Tad lūdziet šaurāko kartēšanu, kas apkalpo plūsmu, jo lūgums atvērt visu parasti iegūst atteikumu vai papildu pārdošanu, nevis tehnisku atbildi.