UDP नेहमी वेगवान नसतो: OpenVPN ट्रान्सपोर्ट निवडणे

प्रत्येक मार्गदर्शक सांगते की OpenVPN साठी UDP TCP पेक्षा चांगला आहे, आणि हा सल्ला डीफॉल्ट आहे, मोजमाप नाही। ट्रान्सपोर्ट बदलतो की पॅकेट कसे पोहोचवले जातात आणि मार्ग त्यांना टाकून देतो तेव्हा काय होते, टनेल कसे एन्क्रिप्ट होते हे नाही। कॅप्टिव्ह पोर्टल किंवा फक्त पोर्ट 443 ला परवानगी देणाऱ्या प्रॉक्सीमागे, हळू पर्याय हाच खरेतर जोडतो। पुढील भाग प्रोटोकॉल काय करतो आणि तुमचे प्रवेश नेटवर्क काय परवानगी देते हे वेगळे करतो।

ट्रान्सपोर्ट प्रत्यक्षात काय बदलतो

TCP विश्वासार्ह, क्रमबद्ध बाइट प्रवाह देतो आणि जे हरवते ते पुन्हा पाठवतो, जसे RFC 9293 निर्दिष्ट करते। UDP डेटाग्राम नेटवर्कला देतो, आणि OpenVPN त्या सॉकेटवर स्वतःचा विश्वासार्हता स्तर चालवतो। TCP ला TCP मध्ये एन्कॅप्सुलेट केल्याने दोन पुनर्प्राप्ती लूप रचले जातात, म्हणून एक हरवलेला विभाग आतील प्रवाह थांबवू शकतो जोपर्यंत बाहेरील पुनर्प्रेषण येत नाही। हाच परस्परसंवाद UDP साठी खरा युक्तिवाद आहे, आणि तो थ्रूपुटऐवजी विलंब म्हणून दिसतो।

हानी आणि फेरीच्या वेळेसह परिणाम वाढतो। स्वच्छ स्थानिक मार्गावर दोन्ही ट्रान्सपोर्ट सारखेच वाटतात, म्हणून प्रयोगशाळेची चाचणी तक्रार पुन्हा निर्माण करत नाही। गर्दीच्या मोबाइल लिंकवर मोठ्या हस्तांतरणाला काही जाणवण्याआधीच संवादात्मक सत्रांमध्ये फरक दिसतो।

यापैकी काहीही गोपनीयता किंवा अखंडतेला स्पर्श करत नाही। TLS हातमिळवणी आणि डेटा-चॅनेल सिफर दोन्ही ट्रान्सपोर्टसाठी सारखेच आहेत, म्हणून बदलल्याने कमकुवत सिफर संच वाचू शकत नाही।

TCP आपले स्थान कुठे कमावतो

प्रवेश नेटवर्क हे TCP निवडण्याचे नेहमीचे कारण आहे। हॉटेल, विमानतळ किंवा अतिथी नेटवर्क बाहेर जाणाऱ्या 443 ला परवानगी देऊन बाकी सर्व टाकून देऊ शकते, आणि त्या पोर्टवरील TCP श्रोता हाच एकमेव काम करणारा प्रोफाइल आहे। ही पोहोच आहे, कार्यक्षमता नाही, आणि तो स्वतःच पुरेसा चांगला मुद्दा आहे।

मार्ग स्थिर पण मधले बॉक्स शत्रुत्वाचे असतानाही TCP मदत करतो। काही नेटवर्क सामान्य वेब रहदारीसारखी दिसणारी TCP सत्रे सहन करतात पण दीर्घकालीन UDP प्रवाह रीसेट करतात। ते साम्य यशस्वी होते का हे विशिष्ट नेटवर्कचे गुणधर्म आहे, आणि कोणताही मार्गदर्शक ते सर्वांसाठी देऊ शकत नाही। प्रोटोकॉलला दोष देण्यापूर्वी ज्या नेटवर्कमध्ये अयशस्वी होते त्याच्या आत चाचणी करा।

नाकारलेला लॉगिन ट्रान्सपोर्टची समस्या नाही। कनेक्शन जबरदस्तीने पार करण्यासाठी प्रमाणपत्र पडताळणी बंद करणे हा दुसरा बदल आहे, ज्याचा परिणाम खूपच वाईट आहे।

TCP प्रोफाइल तयार ठेवणे हा व्यावहारिक तडजोड आहे। बहुतेक क्लायंट दोन्ही साठवतात आणि नेटवर्कने UDP मार्ग नाकारल्यावर बदलू देतात, ज्याची गरज होईपर्यंत काहीही खर्च होत नाही। जे करू नये ते म्हणजे वेगवेगळ्या टोकांकडे निर्देश करणारी दोन प्रोफाइल पाठवणे, कारण मग तुमची तुलना सर्व्हर मोजते।

प्रत्यक्षात कोणता श्रोता आहे ते तपासा

कार्यक्षमतेची तुलना करण्यापूर्वी दोन्ही टोके ट्रान्सपोर्ट आणि पोर्टवर सहमत आहेत याची खात्री करा। क्लायंट फाइलमध्ये proto udp ला proto tcp मध्ये बदलल्याने सर्व्हर श्रोता तयार होत नाही। सर्व्हर त्या प्रोटोकॉलसाठी संरचित असावा आणि प्रोफाइल त्याला जुळावे।

grep -E '^(proto|port|remote)' /etc/openvpn/server.conf
ss -lunp | grep openvpn
ss -ltnp | grep openvpn

grep सर्व्हरला काय वापरायला सांगितले होते ते छापते, तर दोन सॉकेट याद्या सर्व्हर कशाला बांधलेला आहे ते दाखवतात। UDP श्रोता फक्त पहिल्या यादीत आणि TCP श्रोता फक्त दुसऱ्यात दिसतो, म्हणून गहाळ ओळ हाच कधीही लागू न झालेला प्रोफाइल शोधण्याचा सर्वात वेगवान मार्ग आहे। पोर्टही तुलना करा, कारण 1194 वरचा TCP प्रोफाइल बहुतेक प्रवेश नेटवर्कमध्ये 443 पेक्षा वेगळा वागतो। बदलानंतर सेवा पुन्हा सुरू करा आणि बाइंडिंगची माहिती देणारी लॉग ओळ वाचा।

क्लायंटच्या बाजूची खात्री स्वस्त आहे: --verb 4 सह कनेक्शन चालवा आणि लॉगमधील ट्रान्सपोर्ट ओळ वाचा। क्लायंट UDP म्हणत असेल आणि सर्व्हर TCP वर ऐकत असेल, तर हातमिळवणी कधीही सुरू होत नाही आणि कोणतेही ट्युनिंग मदत करत नाही।

ट्रान्सपोर्टचे लेबल नाही, कामाचा भार तुलना करा

निष्पक्ष तुलना ट्रान्सपोर्ट सोडून सर्व काही स्थिर ठेवते। तेच उपकरण, तेच प्रवेश नेटवर्क, तेच गंतव्य होस्ट, तेच अनुप्रयोग आणि आदर्शपणे तोच सर्व्हर। दोन प्रोफाइल वेगवेगळ्या होस्टकडे निर्देश करत असतील, तर तुम्ही ते होस्टही मोजत आहात।

प्रत्येक फेरीसाठी तीन निकाल नोंदवा: टनेल स्थापित होतो का, टिकतो का आणि काम पूर्ण होते का। मोठी हस्तांतरणे अडकताना लहान विनंत्या चालत असतील तर ते ट्रान्सपोर्ट नाही, पॅकेट आकार आणि MTU कडे निर्देश करते। वारंवार पुन्हा जोडणी मार्ग किंवा मधल्या बॉक्सच्या कालमर्यादेकडे निर्देश करते।

प्रत्यक्षात भेटणाऱ्या परिस्थितीत चालणारे प्रोफाइल ठेवा आणि दुसरे जतन करा। निवड व्यक्तीची नाही, नेटवर्कची आहे, म्हणून कोणतेही एकच डीफॉल्ट उत्तर कुठेतरी चुकीचे आहे।