UDP er ikkje alltid raskare: å velje OpenVPN-transport

Kvar rettleiar seier at UDP slår TCP for OpenVPN, og rådet er eit standardval, ikkje ei måling. Transporten endrar korleis pakkar vert leverte og kva som skjer når vegen slepp dei, ikkje korleis tunnelen vert kryptert. Bak ein captive portal eller ein proxy som berre tillèt port 443, er det seinare alternativet det som i det heile koplar til. Det følgjande skil kva protokollen gjer frå kva aksessnettet ditt tillèt.

Kva transporten faktisk endrar

TCP leverer ein påliteleg, ordna bytestraum og sender på nytt alt som går tapt, slik RFC 9293 fastset. UDP overlet datagram til nettet, og OpenVPN køyrer sitt eige pålitelegheitslag oppå den sockelen. Innkapsling av TCP i TCP stablar to gjenopprettingsløkker, så eitt tapt segment kan halde att den indre straumen til den ytre omsendinga kjem. Det samspelet er det eigentlege argumentet for UDP, og det syner seg som forseinking snarare enn som gjennomstrøyming.

Effekten aukar med tap og rundtur-tid. På ein rein lokal veg kjennest begge transportane like, og difor attgjev ein laboratorietest sjeldan klaga. På ei overbelasta mobillenke syner skilnaden seg i interaktive økter lenge før ei stor overføring merkar noko.

Ingenting av dette rører konfidensialitet eller integritet. TLS-handtrykket og datakanalchifferet er dei same for begge transportane, så eit byte kan ikkje redde ein svak chifferpakke.

Kvar TCP fortener plassen sin

Aksessnett er den vanlege grunnen til å velje TCP. Eit hotell, ein flyplass eller eit gjestenett tillèt kanskje utgåande 443 og slepp alt anna, og ein TCP-lyttar på den porten er den einaste profilen som verkar. Det er tilgjenge, ikkje yting, og det er god nok grunn i seg sjølv.

TCP hjelper òg når vegen er stabil, men mellomledda er fiendtlege. Nokre nett nullstiller langvarige UDP-straumar medan dei toler TCP-økter som liknar vanleg webtrafikk. Om den likskapen lukkast er ein eigenskap ved det konkrete nettet, og ingen rettleiar kan love det for alle. Test inne i nettet som feilar før du klandrar protokollen.

Ei avvist pålogging er ikkje eit transportproblem. Å slå av sertifikatverifisering for å tvinge gjennom ei tilkopling er ei anna endring med eit mykje verre utfall.

Å ha ein TCP-profil klar er det praktiske kompromisset. Dei fleste klientar lagrar begge og lèt deg byte når eit nett avviser UDP-vegen, noko som ikkje kostar noko før du treng det. Det du ikkje bør gjere, er å levere to profilar som peikar på ulike endepunkt, for då måler samanlikninga serverane.

Kontroller kva lyttar du faktisk har

Før du samanliknar yting, stadfest at begge endar er samde om transport og port. Å endre proto udp til proto tcp i ei klientfil opprettar ikkje ein serverlyttar. Serveren må vere konfigurert for den protokollen, og profilen må passe til han.

grep -E '^(proto|port|remote)' /etc/openvpn/server.conf
ss -lunp | grep openvpn
ss -ltnp | grep openvpn

grep skriv ut kva serveren fekk beskjed om å bruke, medan dei to socket-listene syner kva han er bunden til. Ein UDP-lyttar syner seg berre i den første lista og ein TCP-lyttar berre i den andre, så ei manglande linje er den raskaste måten å finne ein profil som aldri vart brukt. Samanlikn porten òg, for ein TCP-profil på 1194 oppfører seg annleis enn ein på 443 i dei fleste aksessnett. Start tenesta på nytt etter endringa og les logglina som rapporterer bindinga.

Stadfesting på klientsida er billeg: køyr tilkoplinga med --verb 4 og les transportlina i loggen. Viss klienten seier UDP medan serveren lyttar på TCP, startar handtrykket aldri, og ingen justering hjelper.

Samanlikn arbeidslasta, ikkje transportetiketten

Ei rettferdig samanlikning held alt konstant utanom transporten. Same eining, same aksessnett, same målvert, same applikasjon og ideelt same server. Viss dei to profilane peikar på ulike vertar, måler du òg dei vertane.

Registrer tre utfall for kvar køyring: om tunnelen vert etablert, om han held seg oppe, og om oppgåva vert fullført. Små førespurnader som verkar medan store overføringar stoppar, peikar på pakkestorleik og MTU, ikkje på transporten. Gjentekne attkoplingar peikar på vegen eller på ein tidsavbrot i eit mellomledd.

Hald på profilen som verkar under tilhøva du faktisk møter, og lagre den andre. Valet høyrer til nettet, ikkje til personen, og difor er eitkvart einskilt standardsvar feil ein stad.