OpenVPN නිවසේ වැඩ කරයි නමුත් එක් ජාලයක වැඩ නොකරයි: UDP ද TCP ද?

එකම පැතිකඩ නිවසේ සිට සම්බන්ධ වී හෝටල්, විශ්වවිද්‍යාල හෝ ශාඛා ජාලයක නතර වේ. පිවිසුම් දත්ත වෙනස් වී නැත, එබැවින් සිත්ගන්නා විචල්‍යය වන්නේ මාර්ගයයි: OpenVPN පැකට් කියවීමට පෙර ඒවාට සිදුවන්නේ කුමක්ද. පරීක්ෂා කළ හැකි අනුපිළිවෙලින් හැකි හේතු හතරක් සසඳා බැලීම සහතික ගැන අනුමාන කිරීමට වඩා හොඳය. එක් එක් හේතුව වෙනස් සලකුණක් ඉතිරි කරයි, එම සලකුණම ඒවා වෙන් කරයි.

කුමන අවස්ථාව අසාර්ථක වූවාද යන්න කුමන සංසන්දනය වැදගත් ද යන්න කියයි

සේවාදායක ලොගය දැනටමත් ඔබ කොතරම් දුර ගියාද යන්න සටහන් කරයි. TLS යතුරු සාකච්ඡාව කාල සීමාව තුළ සිදු නොවීය යන පේළිය අදහස් වන්නේ පළමු පැකැට්ටුව පිටව ගොස් ප්‍රයෝජනවත් පිළිතුරක් ආපසු නොආ බවයි, එය මාර්ගය දෙසට යොමු කරයි. සහතික ප්‍රතික්ෂේපය සම්පූර්ණයෙන් වෙනස් ලෙස පෙනේ: පිළිතුරක් එයි, පසුව නිශ්චිත සත්‍යාපන දෝෂයක් හේතුව නම් කරයි. නැවත උත්සාහ ලූපයට පෙර අවසාන පේළිය සටහන් කරගන්න, මන්ද ජාල අතර සසඳන අගය එයයි.

පසුව නොව, නැවත උත්සාහ කරන අතරතුර ග්‍රහණය කරන්න. සේවාදායකයේ tcpdump -ni any udp port 1194 කිසියම් පිළිතුරක් ආපසු එනවාද යන්න පෙන්වයි. ඔබ පාලනය කරන සේවාදායකයක WAN අතුරුමුහුණතේ එය නැවත කරන්න, එය එම පැකට් දුරස්ථ කෙළවරට ළඟා වේද යන්න හෙළි කරයි.

එක් පැත්තක රථවාහනය මෙහි ඇති වඩාත් ප්‍රයෝජනවත් ප්‍රතිඵලයයි, මන්ද එය ඉඳහිට පැමිණෙන පැමිණිල්ලක් විමර්ශනයේ දිශාවක් බවට පත් කරයි. ග්‍රහණ ගොනු තබා ගන්න, මන්ද එම ගැටලුවේ ඊළඟ වාර්තාව විස්තරයකට වඩා සාක්ෂියකින් වැසීම පහසුය.

UDP පෙරහන සහ වසා ඇති පෝට්ටුව

බොහෝ ප්‍රවේශ ජාල දිගුකාලීන UDP සැක සහිත ලෙස සලකයි, සමහර ISP ද එකඟ වේ. වසා ඇති පෝට්ටුවක් සේවාදායක පැත්තෙන් එම නිශ්ශබ්දතාවයම ඇති කරයි. වෙනස වන්නේ තෝරාගැනීමේ හැකියාවයි: පෙරහනක් කුමන ගමනාන්ත හෝ පෝට්ටු ඉවත් කරනවාද යන්න ගැන තෝරා බලයි, නමුත් වසා ඇති පෝට්ටුවක් එම පෝට්ටුවට යොමු වන සියල්ල ප්‍රතික්ෂේප කරයි.

443 පෝට්ටුවේ TCP පැතිකඩ සුපුරුදු විසඳුමයි, මන්ද එය සාමාන්‍ය HTTPS ගලායාමක් වගේ පෙනෙන අතර බොහෝ captive පෝටල් සහ පිටවීම් පෙරහන් හරහා යයි. කොන්දේසි දෙකක් සම්පූර්ණ විය යුතුය. සේවාදායකය proto tcp-server සමඟ සවන් දිය යුතු අතර සේවාදායකයා proto tcp-client සමඟ ගැළපිය යුතුය, සහ ක්‍රියාකරු එම විකල්ප අන්ත ලක්ෂ්‍යය ප්‍රකාශයට පත් කළ යුතුය. ක්‍රියාත්මක UDP පැතිකඩක් TCP 443 ලෙස නැවත ලිවීම අනෙක් කෙළවරේ කිසිවක් සවන් නොදෙන විට කිසිවක් ඉටු නොකරයි.

වසා ඇති පෝට්ටුවක් සෙන්සර්ෂිප් ගැටලුවක් නොව, වින්‍යාස ගැටලුවකි. නිවසේ රවුටරයක් පිටුපස ඇති සේවාදායකයකට එහි UDP පෝට්ටුව ඉදිරියට යැවීම අවශ්‍ය වන අතර රවුටරයේ ෆයර්වෝලය එයට අවසර දිය යුතුය. පෝට්ටුවට කිසිදා අවසර නොදුන්නේ නම්, පිවිසුම් දත්ත නොසලකා සෑම සේවාදායකයක්ම සාකච්ඡාවේදී අසාර්ථක වේ, අසාර්ථකත්වය ජාලය පසුපස නොව සේවාදායකය පසුපස යයි.

පැරණි ප්‍රොටෝකෝල මෙම අක්ෂයේ දුර්වල ලෙස පෙනේ. PPTP සඳහා TCP 1723 සහ GRE අවශ්‍ය වන අතර GRE යනු පෝට්ටුවක් නොව IP ප්‍රොටෝකෝලය 47 වේ, එබැවින් සාමාන්‍ය පෝට්ටු ඉදිරියට යැවීමකට එය ප්‍රකාශ කළ නොහැක.

පැකට් ඉවත් කරන්නේ ස්විචය වූ විට

කළමනාකරණය කළ ස්විචයකට ටනලය හිතාමතා ඉවත් කළ හැක. සමහර HPE සහ Aruba මාදිලි ඔවුන්ගේ උසස් ආරක්ෂණ කොටසේ UDP ජල ගැලීම් ආරක්ෂණ පාලනයක් ලබා දෙයි, සමහර විට Prevent UDP Blat Attack ලෙස ලේබල් කර ඇත. එම පාලනය සක්‍රීය වූ පසු, ස්විචය පිටුපස ඇති සේවාදායකය කිසිවකට පිළිතුරු නොදෙන අතර සෑම සේවාදායකයක්ම එකම ආකාරයෙන් කාලය ඉකුත් වේ. එය ඉවත් කර ක්‍රියාත්මක වින්‍යාසය සුරැකීම මුළු අලුත්වැඩියාවයි, නමුත් ස්විචය සැබවින්ම මාර්ගයේ ඇති බව තහවුරු කිරීමෙන් පසුව පමණි.

ස්විචයේ ඉවත් කිරීම සහ සැපයුම්කරුගේ අවහිරය වෙන් කරන්නේ ප්‍රති සාක්ෂියයි. ISP සමඟ ටිකට් විවෘත කිරීමට පෙර අතුරුමුහුණත් ගණන් සහ ජල ගැලීම් ආරක්ෂණ ලොගය කියවන්න. DoS හෝ ජල ගැලීම් ආරක්ෂණය සහිත පාරිභෝගික රවුටර ද එම හැඩයෙන්ම අසාර්ථක වේ, UDP අක්‍රීය කාල සීමාව කෙටි ඕනෑම මධ්‍ය පෙට්ටියක් ද එසේමය. කිසිදා සම්පූර්ණ නොවන අත් සෙල්ලම ඉවත් කිරීමක් ඇඟවුම් කරයි, නමුත් මිනිත්තු කිහිපයක නිශ්ශබ්දතාවයෙන් පසු මිය යන ටනලයක් කාල සීමාව ඇඟවුම් කරයි.

පැතිකඩක් වෙනස් කිරීමට පෙර සේවාදායකය සහ සේවාදායකය අතර සෑම උපාංගයක්ම ලියන්න. වැරදි ස්තරයක යොදන ලද නිවැරදි කිරීමක් ඊළඟ ජාලය දක්වා නිවැරදි ලෙස පෙනේ. එම ලැයිස්තුව මුළු විමර්ශනයම නැවත නොකර ඊළඟ ඉංජිනේරුවාට කොහෙද බැලිය යුතුද යන්න ද කියයි.

DNS අසාර්ථකත්වයක් ලෙස පෙනෙන ලිපින අතිච්ඡාදනය

10.0.0.0/8 ඇතුළත අංකනය කළ ප්‍රවේශ ජාලයක් ටනල තටාකය සමඟ අතිච්ඡාදනය විය හැකි අතර, විසඳන්නා සාමාන්‍යයෙන් එම තටාකය තුළම ජීවත් වේ. ලැප්ටොප් පරිගණකයක් Wi-Fi හි 10.184.178.50 වැනි ලිපිනයක් /8 ආවරණයක් සමඟ ලබා ගන්නා විට, සෑම 10.x ගමනාන්තයක්ම අර්ථ දැක්වීම අනුව දේශීය වේ. 10.4.0.1 සඳහා පැකට් පසුව LAN වෙත යයි, ටනලය ඉහළින්ම පවතී, නම් විභේදනය අසාර්ථක වේ.

ip addr අතිච්ඡාදනය එක් බැල්මකින් හෙළි කරයි, සහ ip route get 10.4.0.1 පැකට්ටුව සැබවින්ම කොහේ බෙදාහරිනු ඇත්ද යන්න පෙන්වයි. පෙනෙන රෝග ලක්ෂණය විසඳන්නාගේ අසාර්ථකත්වය බැවින්, මෙය බොහෝ විට DNS වෙනස්කම් වට කිහිපයක් ජීවත් වේ.

තටාකය නැවත අංකනය කරන්න හෝ එම ප්‍රවේශ ජාලය විෂය පථයෙන් පිටත තබන්න. කිසිදු සේවාදායක පැත්තේ සැකසීමක් අතිච්ඡාදනයකින් යථා තත්ත්වයට පත් නොවේ.

TCP ආපසු මාර්ගය සහ මාර්ග අලුත්වැඩියාව අතර තේරීම

මාර්ගය පාලනය නොකරන අතර පරිශීලකයින්ට අද වැඩ කළ යුතු නම් TCP ආපසු මාර්ගය තෝරන්න, සහ එහි වියදම් පිළිගන්න: TCP තුළ TCP අලාභ සහිත සබැඳිවල දුර්වල ලෙස හැසිරේ, ආපසු මාර්ගයට ඔබ ක්‍රියාත්මක කරන listener එකක් අවශ්‍ය වේ. අවහිරය ඔබට අයත් යටිතල පහසුකම්වල ඇත්නම් මාර්ග අලුත්වැඩියාව තෝරන්න, මන්ද ෆයර්වෝල් රීතියක් දෙවන listener එකකට වඩා ලාභදායීය. කෙසේ වුවද, ස්තර පිළිවෙලින් පසු කරන්න: සබැඳිය, බාහිර ප්‍රවාහනය, සාකච්ඡාව, අභ්‍යන්තර මාර්ගගත කිරීම. එම ජාලයේ අසාර්ථක වූ අවස්ථාව පමණක් වැදගත් කරුණයි.

ප්‍රතිඵලය පරිශීලකයා අනුව නොව ජාලය අනුව සටහන් කරන්න. එම අසාර්ථකත්වයේ ඊළඟ වාර්තාව පසුව සහතික න්‍යායකින් නොව දන්නා අවස්ථාවකින් ආරම්භ වේ. එම වාර්තාවම, කිසිදා අවශ්‍ය නම්, ස්ථිර දෙවන listener එකක් සාධාරණීකරණය කරයි.