Дали TCP 443 навистина помага? Само ако серверот слуша таму

TCP 443 е резервен пат со предуслов, а не маскирање што провлекува тунел покрај секој филтер. Помага кога операторот веќе објавува TCP слушач на тој порт и патот толерира врска што останува отворена со часови. Не успева, обично како истек на време, кога недостасува едно од двете, а истекот на време ретко кажува кое. Одлуката дали да се префрли бара три прашања, и само едно од нив е за бројот на портата.

Бројот на портата не е ветување за транспорт

Портата именува крајна точка; TCP ја претвора во подреден тек од бајти; OpenVPN одлучува што патува во тој тек. Веб-сервер на истиот број користи сосема поинаков распоред на апликација, така што заедничката порта 443 ги прави двете слични за филтер и ништо повеќе. Бројот е навестување што филтерот го чита, а не својство што го менува она што го содржат пакетите. Да се третираат како исто затоа што делат порта е грешката зад повеќето од збунетоста овде.

Средните уреди ретко донесуваат едноставна одлука дозволи-или-забрани за порта. Многу од нив ги прегледуваат првите бајти, некои закачуваат дестинација, а некои ресетираат врски што остануваат отворени предолго. Затоа истиот профил може да работи од една мрежа и да истече од друга, и затоа резервниот пат вреди да се тестира како поддржана опција, а не да му се верува како ветување. Кога филтерот го прегледува сообраќајот, бројот на портата е само првото нешто во што гледа.

Потврдете го слушачот пред да го допрете профилот

Серверот мора да биде конфигуриран за TCP на портата, а клиентскиот профил мора да го побара истиот транспорт. Препишувањето на UDP профил да бара TCP не го создава слушачот, а добиениот истек на време не се разликува од огнен ѕид што ја отфрла портата. Преземете го сопствениот TCP профил на операторот кога постои, бидејќи некои услуги објавуваат посебна крајна точка и посебни поставки за идентитет за секој транспорт. Рачното уредување е добро за контролиран тест и лош начин да се погоди наменетата конфигурација на давателот.

Двете страни на тоа совпаѓање се гледаат во конфигурацијата, а опциите за врска на проектот OpenVPN ги документираат двете форми. Минималниот пар изгледа вака:

# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443

Три услови одлучуваат дали резервниот пат си ја заслужува цената

Првиот услов е операторот воопшто да го нуди транспортот; без него ништо друго не е важно. Вториот е патот да одржува долготрајна сесија жива, бидејќи некои мрежи ресетираат врски што остануваат отворени наместо целосно да ја блокираат портата. Третиот е дали резервниот пат е намерен исклучок или привремено решение што крие дефект што не сте го поправиле.

Секој услов има евтина проверка. Неуспех на кој било од нив изгледа исто од страната на клиентот:

Пред да ги споредите транспортите, завршете го секое најавување на заробен портал. Мрежа што не го прифатила вашиот уред ги блокира двата транспорта, и тогаш споредбата го мери порталот, а не тунелот. Најавете се, потврдете дека обичното прелистување работи, и само тогаш започнете го тестот.

Цената што ја прифаќате: TCP внатре во TCP

TCP повторно ги праќа изгубените сегменти и го зачувува нивниот редослед. Кога апликација што исто така користи TCP работи внатре во TCP тунел, два слоја за обнова реагираат на истата загуба, и токму таа интеракција го прави тунелот да изгледа бавен на пат со загуби. Симптомот е доцнење и треперење, а не чист неуспех, што го олеснува обвинувањето на далечниот крај. Мерете од клиентот под двата транспорта пред да заклучите.

UDP го избегнува тоа вгнездување, и тоа е главната причина зошто операторите го претпочитаат и го нудат TCP само како алтернатива. Стабилна TCP врска сѐ уште е покорисна од недостапна UDP врска, така што споредбата е меѓу две вистински цени, а не меѓу добра и лоша опција. Држете го уредот и пристапната мрежа непроменети додека споредувате, инаку резултатот ја опишува погрешната променлива.

Некои клиентски функции се документирани само за еден транспорт, така што резервниот профил може тивко да отфрли однесување на кое се потпиравте. Прочитајте го транспортниот услов на опцијата пред да го третирате TCP профилот како едноставна замена.

Дефекти што друг транспорт не ги допира

Истечен сертификат сѐ уште бара проверка на часовникот или обновување, а одбиена сметка сѐ уште бара точни акредитиви. Задржете ги проверките на идентитетот на серверот што ги дал операторот, бидејќи познат број на порта не автентицира никого. Порта што одговара кажува само дека нешто слуша.

Ако тунелот се подигне, а дестинациите сѐ уште не работат, преостанатиот проблем е рутирање или решавање на имиња по врската, а не транспортот. Следете го тој пат наместо да вртите низ порти, бидејќи така исчезнува едно попладне. Профилот ви кажува кој транспорт да го пробате; никогаш не кажува зошто UDP патот не успеал.