किन धेरै एप जडानले एउटै OpenVPN सत्र साझा गर्छन्

एउटा ब्राउजर HTTPS पृष्ठ लोड गर्दै छ, एउटा SSH क्लाइन्ट अर्को सर्भरमा पुग्दै छ र एउटा रिजोल्भर प्रश्नको उत्तर दिँदै छ — सबै एउटै OpenVPN सत्रबाट। भौतिक इन्टरफेसमा तपाईं एउटा कुराकानी देख्नुहुन्छ; सुरुङभित्र तीनवटा देख्नुहुन्छ। दुवै दृष्टिकोण सही हुन्, र किन भनेर जान्नु नै उपयोगी र भ्रमित गर्ने क्याप्चरबीचको फरक हो। एउटा भित्री प्रवाहलाई सकेटदेखि तारसम्म पछ्याउनुहोस्, तहविभाजन अमूर्त रहँदैन।

एउटा बाहिरी कुराकानी, धेरै भित्री प्रवाह

हरेक एप्लिकेसनले आफ्नै सकेट खोल्छ, र कर्नेलले त्यसलाई स्रोत ठेगाना, स्रोत पोर्ट, गन्तव्य ठेगाना, गन्तव्य पोर्ट र प्रोटोकलको पाँच-टपल दिन्छ। ती टपलहरू कुनै पनि सुरुङ संलग्न हुनुअघि नै अवस्थित हुन्छन्। त्यसपछि राउटिङले ती सबै सुरुङ यन्त्रबाट बाहिर जान्छन् भनेर निर्णय गर्छ, त्यसैले OpenVPN लाई दिइएको प्याकेटले अझै भित्र मूल हेडर बोक्छ। OpenVPN त्यो भित्री प्याकेट इन्क्रिप्ट गर्छ र नतिजालाई सँगीको साथ एउटै बाहिरी UDP वा TCP कुराकानीमा बेर्छ। त्यसैले बाहिरी कुराकानी एउटा हो, जबकि त्यसभित्रका प्रवाहहरू एप्लिकेसनहरूले खोलेजति छन्।

केही पनि भत्किँदैन। भित्री टपलहरू सुरुदेखि अन्तसम्म कायम रहन्छन्, र त्यसैले टाढाको पक्षले अझै तीनवटै प्रवाह छुट्याउन सक्छ।

स्थिर रहने पोर्ट

स्थिर रहने बाहिरी टपल हो: तपाईंको ठेगाना, क्लाइन्टले बाँध्यो स्थानीय पोर्ट, सँगीको ठेगाना र कन्फिगर गरिएको सेवा पोर्ट। यही टपल मार्गमा रहेको फायरवाल वा NAT ले अनुमति दिनुपर्छ, र अपलिङ्कमा गरिएको क्याप्चरले देखाउने पनि यही हो। पुनः जडान वा नेटवर्क परिवर्तनपछि बदलिने पनि यही हो, किनभने क्लाइन्टले अर्को स्थानीय पोर्ट बाँध्न सक्छ। एउटा सुरुङको अर्थ सधैं एउटै स्थिर स्रोत पोर्ट होइन।

भित्री पोर्टहरू नै अन्तिम बिन्दुहरूलाई महत्त्वपूर्ण हुन्छन्। बाहिरी यातायात अपरेटरले कन्फिगर गरेको पोर्टमा बसेको भए पनि HTTPS प्रवाहले सुरुङभित्र गन्तव्य पोर्ट 443 राख्छ। एप्लिकेसनका अन्तिम बिन्दुहरूले बाहिरी पोर्टबारे कहिल्यै जान्दैनन्।

टाढाको छेउमा डिक्याप्सुलेसनले के बदल्छ

सँगीमा बाहिरी तह हटाइन्छ, र बाँकी रहन्छ भित्री प्याकेट। त्यहाँबाट फर्वार्डिङ र पहुँच नीति भित्री गन्तव्य र प्रोटोकलमा लागू हुन्छ। वेब सर्भरले अझै HTTPS जडान पाउँछ, SSH डेमनले अझै SSH पाउँछ, र रिजोल्भरले अझै प्रश्न पाउँछ।

त्यसैले बाहिरी यातायातलाई अनुमति दिने नियम भित्री सेवालाई अनुमति दिने नियम होइन। पहिलोले मार्ग बताउँछ; दोस्रोले अधिकार बताउँछ।

बाहिरी TCP भनेको एउटा प्रवाह, एउटा जडान होइन

बाहिरी यातायात UDP हुँदा हरेक भित्री प्रवाहको भाग्य स्वतन्त्र हुन्छ: हराएको डेटाग्राम आफ्नै पुनःप्रेषणसम्म एउटा स्थानान्तरणमा असर गर्छ। बाहिरी यातायात TCP हुँदा सबै भित्री प्रवाहले एउटै भरपर्दो बाइट प्रवाह साझा गर्छन्।

त्यही साझा प्रवाह मानिसहरूले छुटाउने भाग हो। पुनःप्राप्ति एकैचोटि हुन्छ, सबैका लागि, त्यसैले एउटा हराएको खण्डले भित्र मल्टिप्लेक्स गरिएको हरेक एप्लिकेसनको ट्राफिक ढिलो गर्छ। अन्तिम बिन्दुहरूमा अझै धेरै जडान र तारमा एउटा जडान हुन्छ, र तारमै लाइनको टाउको प्रभाव बस्छ। सुनिरहेका पोर्टको संख्याले यसबारे केही बताउँदैन, त्यसैले सुरुङको कार्यक्षमताबारे सोच्न पोर्ट गन्नु कमजोर तरिका हो।

तपाईंको आफ्नै सेटअप ठ्याक्कै वर्णन गर्नुहोस्

मेसिनले सबै कुरा एउटै पोर्टबाट पठाउँछ भन्नुको सट्टा, छानिएको भित्री ट्राफिक र त्यसलाई बोक्ने विशेष बाहिरी यातायातको नाम लिनुहोस्। स्थानीय सेवाहरू, दोस्रो सुरुङ र अर्को ठेगाना परिवारले यो कुराकानीमा कहिल्यै नपस्ने प्रवाहहरू बनाउँछन्। अपलिङ्कको क्याप्चरले बाहिरी टपल देखाउँछ; सुरुङभित्रको क्याप्चरले भित्री टपलहरू देखाउँछ।

दुवै लिनुहोस्, र समयछापहरू छेउछाउमा राख्नुहोस्। कुन एप्लिकेसनले कुन भित्री प्रवाह बनायो भनेर प्रमाणित गर्नुपर्ने भए, होस्टको सकेट तालिका राम्रो साधन हो, किनभने यसले पोर्टहरूलाई सिधै प्रक्रियासँग जोड्छ। त्यसपछि तपाईंले देख्नुभएको बाहिरी टपल र देखेको क्षण लेख्नुहोस्, किनभने पुनः जडानपछिको अर्को क्याप्चरले वैध रूपमा फरक अंक देखाउन सक्छ।