UDP mhux dejjem aktar mgħaġġel: l-għażla tat-trasport tal-OpenVPN

Kull gwida tgħid li UDP jirbaħ TCP għall-OpenVPN, u dak il-parir huwa valur prestabbilit, mhux kejl. It-trasport ibiddel kif jitwasslu l-pakketti u x'jiġri meta r-rotta taqbadhom, mhux kif tiġi kkriptata l-mina. Wara portal captive jew proxy li jippermetti biss il-port 443, l-għażla l-aktar bil-mod hija dik li tikkonnettja xejn. Dan li ġej jifred dak li jagħmel il-protokoll minn dak li tippermetti n-netwerk tal-aċċess tiegħek.

X'inibiddel it-trasport tassew

TCP iwassal fluss ta' bytes affidabbli u ordnat u jerġa' jibgħat kull ma jintilef, kif jispeċifika RFC 9293. UDP iwassal id-datagrams lin-netwerk, u OpenVPN imexxi s-saff tal-affidabbiltà tiegħu stess fuq dak is-socket. L-inkapsulament tat-TCP ġewwa TCP jistiva żewġ loops ta' rkupru, għalhekk segment wieħed mitluf jista' jżomm il-fluss ta' ġewwa sakemm jasel it-trasferiment mill-ġdid ta' barra. Dik l-interazzjoni hija l-argument veru għal UDP, u tidher bħala dewmien minflok bħala throughput.

L-effett jikber mat-telf u mal-ħin ta' vjaġġ. Fuq rotta lokali nadifa ż-żewġ trasporti jinħassu identiċi, għalhekk test tal-laboratorju rari jirriproduċi l-ilment. Fuq konnessjoni mobbli konġestjonata d-differenza tidher f'sessjonijiet interattivi ħafna qabel ma trasferiment kbir jinduna b'xi ħaġa.

Xejn minn dan ma jmiss il-kunfidenzjalità jew l-integrità. L-handshake TLS u ċ-ċifrat tal-kanal tad-dejta huma l-istess għaż-żewġ trasporti, għalhekk il-bidla ma tistax issalva sett ta' ċifri dgħajjef.

Fejn TCP jistħoqqlu postu

Netwerks tal-aċċess huma r-raġuni tas-soltu biex tagħżel TCP. Lukanda, ajruport jew netwerk tal-mistednin jistgħu jippermettu 443 ħiereġ u jarmu kull ħaġa oħra, u semmiegħ TCP fuq dak il-port huwa l-uniku profil li jaħdem. Din hija aċċessibbiltà, mhux prestazzjoni, u hija raġuni tajba biżżejjed waħedha.

TCP jgħin ukoll meta r-rotta tkun stabbli imma l-kaxxi tan-nofs huma ostili. Xi netwerks jerġgħu jissettjaw flussi UDP twal waqt li jittolleraw sessjonijiet TCP li jixbħu traffiku web ordinarju. Jekk dik ix-xebh tirnexxix hija proprjetà tan-netwerk speċifiku, u l-ebda gwida ma tista' twiegħedha għal kulħadd. Iċċekkja ġewwa n-netwerk li jonqos qabel ma tagħti tort lill-protokoll.

Login miċħud mhuwiex problema tat-trasport. Li tiddiżattiva l-verifika taċ-ċertifikat biex iġġiegħel konnessjoni tgħaddi hija bidla oħra b'riżultat ħafna agħar.

Li żżomm profil TCP lest huwa l-kompromess prattiku. Il-biċċa l-kbira tal-klijenti jaħżnu t-tnejn u jħalluk taqleb meta netwerk jirrifjuta r-rotta UDP, li ma tiswa xejn sakemm ikollok bżonnu. Dak li m'għandekx tagħmel hu li tforni żewġ profili li jindikaw punti finali differenti, għax allura l-paragun tiegħek ikejjel is-servers.

Iċċekkja liema semmiegħ għandek tassew

Qabel ma tqabbel il-prestazzjoni, ikkonferma li ż-żewġt iħna jaqblu dwar it-trasport u l-port. Li tbiddel proto udp għal proto tcp f'fajl tal-klijent ma joħloqx semmiegħ tas-server. Is-server irid ikun ikkonfigurat għal dak il-protokoll, u l-profil irid jaqbel miegħu.

grep -E '^(proto|port|remote)' /etc/openvpn/server.conf
ss -lunp | grep openvpn
ss -ltnp | grep openvpn

grep jistampa dak li ġie mgħid lis-server biex juża, filwaqt li ż-żewġ listi tas-sockets juru miegħu x'inhu marbut. Semmiegħ UDP jidher biss fl-ewwel lista u semmiegħ TCP biss fit-tieni, għalhekk linja nieqsa hija l-aktar mod mgħaġġel biex issib profil li qatt ma ġie applikat. Qabbel ukoll il-port, għax profil TCP fuq 1194 iġib ruħu differenti minn wieħed fuq 443 f'ħafna netwerks tal-aċċess. Erġa' ibda s-servizz wara l-bidla u aqra l-linja tal-log li tirrapporta l-irbit.

Il-konferma fuq in-naħa tal-klijent hija rħisa: mexxi l-konnessjoni b'--verb 4 u aqra l-linja tat-trasport fil-log. Jekk il-klijent jgħid UDP waqt li s-server jisma' fuq TCP, il-handshake qatt ma jibda u l-ebda aġġustament ma jgħin.

Qabbel it-tagħbija tax-xogħol, mhux it-tikketta tat-trasport

Paragun ġust iżomm kollox kostanti ħlief it-trasport. L-istess apparat, l-istess netwerk tal-aċċess, l-istess host tad-destinazzjoni, l-istess applikazzjoni u idealment l-istess server. Jekk iż-żewġ profili jindikaw hosts differenti, qed tkejjel ukoll dawk il-hosts.

Irreġistra tliet riżultati għal kull run: jekk il-mina tistabbilixxi ruħha, jekk tibqax u jekk il-kompitu jitlestiex. Talbiet żgħar li jaħdmu waqt li trasferimenti kbar jistallaw jindikaw id-daqs tal-pakkett u l-MTU, mhux it-trasport. Rikonnessjonijiet ripetuti jindikaw ir-rotta jew timeout ta' kaxxa tan-nofs.

Żomm il-profil li jaħdem fil-kundizzjonijiet li tassew tiltaqa' magħhom, u żomm l-ieħor salvat. L-għażla tappartjeni lin-netwerk, mhux lill-persuna, u għalhekk kull tweġiba prestabbilita waħdanija hija ħażina xi mkien.