L-ISP qed jimblokka l-UDP, jew hija l-app ġewwa t-tunnel?

Xi ħadd jirrapporta li l-VPN „jimblokka l-UDP“, u din il-frażi taħbi żewġ pretensjonijiet kompletament differenti. Waħda dwar it-trasport li n-netwerk ta' aċċess jista' jara, l-oħra dwar il-pakketti ta' applikazzjoni wara li jiġu dekriptati ġewwa t-tunnel. Tunnel kriptat jista' jiġi ffiltrat minn barra mingħajr ebda ċavetta, u applikazzjoni UDP interna tista' tonqos għal raġunijiet li m'għandhom xejn x'jaqsmu mal-filtrazzjoni. Iddeċiedi liema pretensjoni qed tittestja qabel ma tiġbor evidenza.

Żewġ intestaturi, kelma waħda

F'deploy tal-IPsec b'NAT-traversal, il-pakkett ta' barra huwa UDP indirizzat bejn iż-żewġ endpoints tal-VPN, tipikament fuq il-port 4500. Ġewwa dan, il-payload kriptat iġorr kull ma jgħaddi t-tunnel, li jista' hu stess ikun TCP jew UDP. Għalhekk il-kelma UDP tidher darbtejn, b'ma'n u b'viżibilità differenti.

Netwerk intermedju jara l-intestatura ta' barra u xejn minn dik interna. Jista' jippermetti, jifforma jew iwarrab il-fluss ta' barra, u m'għandux għalfejn jiddekripta xejn biex jagħmel dan. Din l-asimmetrija hija r-raġuni kollha għalfejn iż-żewġ pretensjonijiet jiġu konfużi: l-istess kelma tiddeskrivi dak li n-netwerk jiffiltra u dak li l-applikazzjoni tibgħat. Ikteb is-saff ħdejn il-kelma kull darba li tirreġistra sejba, u l-konfużjoni fil-biċċa l-kbira tisparixxi.

L-intestatura interna ssir viżibbli biss fl-endpoint li jirċievi, wara d-dekriptaġġ. Minn dak il-punt il-pakkett jiġi mgħoddi bħal kull ieħor, suġġett għal rotot, politika u filtrazzjoni tal-endpoint stess. Dawn huma deċiżjonijiet separati li jittieħdu minn apparati differenti.

X'jista' għadu jara n-netwerk

Il-kriptaġġ jaħbi l-payload u l-intestatura tat-trasport interna, mhux il-fatt li teżisti fluss. L-indirizzi tal-endpoints, il-ports, id-daqsijiet tal-pakketti u l-ħin jibqgħu viżibbli, u dawn biżżejjed biex it-traffiku jiġi kklassifikat b'mod euristiku jew biex tiġi mblukkata destinazzjoni partikolari.

sudo tcpdump -ni eth0 'udp port 4500'
sudo tcpdump -ni tun0 'udp port 5201'

L-ewwel qabda turi l-fluss ta' barra fuq l-interface fiżika, u t-tieni turi l-fluss intern fuq l-interface tat-tunnel. It-tħaddim tat-tnejn flimkien iwieġeb il-mistoqsija direttament: jekk il-fluss ta' barra jeżisti u dak intern le, l-applikazzjoni qatt ma bagħtet xejn fit-tunnel. Jekk it-tnejn jeżistu u xejn ma jerġa' lura, il-problema tinsab lil hinn mit-tunnel, fid-destinazzjoni jew fit-triq tar-ritorn.

RFC 3948 jiddefinixxi l-inkapsulament UDP ta' barra, u l-ispeċifikazzjoni ESP tiddefinixxi t-tqassim protett ġewwa fih. L-ebda waħda miż-żewġ dokumenti ma twiegħed li netwerk ta' aċċess se jgħaddi l-fluss ta' barra, u għalhekk test ta' aċċessibilità fuq it-tuple ta' barra jistħoqqlu jsir qabel kwalunkwe teorija dwar dak intern. Tuple ta' barra mblukkat jipproduċi tunnel li qatt ma jifforma, mhux tunnel li jifforma u mbagħad jitlef applikazzjoni waħda.

Għalfejn app UDP waħda tonqos ġewwa tunnel li jaħdem

Tunnel li jġorr applikazzjoni web iżda mhux applikazzjoni UDP għandu diversi spjegazzjonijiet plawżibbli, u l-filtrazzjoni tal-protokoll intern mill-ISP mhijiex l-ewwel waħda. L-aktar komuni hija l-kopertura: iż-żewġ applikazzjonijiet ma jidħlux it-tnejn fl-istess tunnel, għax ir-rotta lejn id-destinazzjoni UDP hija nieqsa jew ir-regoli tat-tunnel maqsum tal-klijent jeskluduha.

It-tieni huwa l-endpoint. Server VPN li jippermetti lista ta' protokolli, firewall fid-destinazzjoni, jew servizz li qatt ma jisma' fuq il-port mistenni, kollha se jipproduċu timeout li jidher identiku għal blokk tan-netwerk.

It-tielet huwa d-daqs tal-pakkett. L-applikazzjonijiet UDP spiss jibagħtu datagrams akbar minn talba web, u l-inkapsulament inaqqas l-MTU użabbli, allura wara handshake li jirnexxi jista' jiġi silenzju fuq l-ewwel payload ta' daqs sħiħ. Dan il-mudell huwa faċli biex jinqara ħażin bħala blokk, għax il-pakketti żgħar jgħaddu u dawk kbar jisparixxu. Prova MTU malajr issolviha fi ftit inqas minn minuta, u t-tweġiba normalment hija payload iżgħar jew MSS ikkoreġut, mhux filtru tan-netwerk.

ping -M do -s 1400 -c 2 10.60.0.20
iperf3 -u -c 10.60.0.20 -p 5201 -b 1M -t 5

L-ewwel kmand jittestja jekk pakkett kbir jissuperax it-triq b'frammentazzjoni mitfija, li jikxef malajr problema tal-MTU. It-tieni jibgħat fluss UDP żgħir u limitat u jirrapporta telf u jitter. Fluss li jibda u mbagħad jieqaf jindika d-daqs, mhux blokk.

Irrapporta s-saff, mhux il-protokoll

Ikteb is-sejba f'waħda minn tliet forom: il-kunsinna ta' barra falliet, it-trasferiment intern falla, jew l-applikazzjoni falliet. Kull waħda għandha sid differenti, u t-taħlit tagħhom jibgħat il-biljett lit-tim żbaljat.

It-tibdil ta' port lokali ma jistax joħloq semmiegħ li jaqbel fit-tarf imbiegħed, għalhekk soluzzjoni temporanja fuq in-naħa tal-klijent li tidher li tgħin normalment hija prova li d-destinazzjoni oriġinali kienet żbaljata. Bl-istess mod, profil alternattiv ipprovdut jipprova xi ħaġa dwar l-aċċessibilità u xejn dwar jekk l-applikazzjoni hijiex ikkonfigurata sew.

Żomm l-inferenza separata mill-osservazzjoni. L-analiżi tat-traffiku tista' tissuġġerixxi x'inhu fluss mingħajr ma tiddekriptah, u dik hija sejba utli, iżda mhijiex l-istess pretensjoni bħall-qari tal-intestatura interna. Stqarr liema waħda fil-fatt għandek.