Pomáha TCP 443 naozaj? Len ak na ňom server načúva

TCP 443 je záložná cesta s predpokladom, nie prestroj, ktorý prepašuje tunel popri akomkoľvek filtri. Pomáha, keď operátor už na tomto porte zverejňuje TCP načúvač a cesta znesie spojenie, ktoré zostáva otvorené hodiny. Zlyháva, zvyčajne ako časový limit, keď jedno z toho chýba, a časový limit len zriedka povie ktoré. Rozhodnutie, či prepnúť, si vyžaduje tri otázky a len jedna z nich je o čísle portu.

Číslo portu nie je prísľub transportu

Port pomenúva koncový bod; TCP z neho robí usporiadaný tok bajtov; OpenVPN rozhoduje, čo v tomto toku cestuje. Webový server na rovnakom čísle používa úplne iné usporiadanie aplikácie, takže zdieľaný port 443 robí oba pre filter podobnými a nič viac. Číslo je stopa, ktorú filter číta, nie vlastnosť, ktorá mení obsah paketov. Považovať ich za to isté preto, že zdieľajú port, je chyba, ktorá stojí za väčšinou týchto nejasností.

Sprostredkujúce zariadenia len zriedka prijímajú jednoduché rozhodnutie povoliť alebo zakázať ohľadne portu. Mnohé skúmajú prvé bajty, niektoré pripínajú cieľ a iné resetujú spojenia, ktoré zostávajú otvorené príliš dlho. Preto ten istý profil môže fungovať z jednej siete a z inej vypršať, a preto sa oplatí záložnú cestu testovať ako podporovanú možnosť a nie jej veriť ako prísľubu. Keď filter skúma prevádzku, číslo portu je len prvá vec, na ktorú sa pozerá.

Potvrďte načúvač, skôr než sa dotknete profilu

Server musí byť nastavený pre TCP na tomto porte a klientsky profil musí žiadať ten istý transport. Prepísanie profilu UDP tak, aby žiadal TCP, načúvač nevytvorí, a výsledný časový limit nemožno odlíšiť od firewallu, ktorý port zahadzuje. Stiahnite si vlastný TCP profil operátora, keď existuje, pretože niektoré služby zverejňujú samostatný koncový bod a samostatné nastavenia identity pre každý transport. Ručná úprava je dobrá na kontrolovaný test a zlý spôsob, ako hádať zamýšľanú konfiguráciu poskytovateľa.

Obe strany tejto zhody sa objavujú v konfigurácii a možnosti prepojenia projektu OpenVPN dokumentujú obe podoby. Minimálna dvojica vyzerá takto:

# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443

Tri podmienky rozhodujú, či sa záložná cesta vyplatí

Prvou podmienkou je, že operátor transport vôbec ponúka; bez toho nič iné nezáleží. Druhou je, že cesta udrží dlhotrvajúcu reláciu, keďže niektoré siete resetujú spojenia, ktoré zostávajú otvorené, namiesto toho, aby port úplne zablokovali. Treťou je, či je záložná cesta úmyslnou výnimkou alebo obchádzkou, ktorá skrýva poruchu, ktorú ste neopravili.

Každá podmienka má lacnú kontrolu. Zlyhanie pri ktorejkoľvek z nich vyzerá z pohľadu klienta rovnako:

Skôr než začnete porovnávať transporty, dokončite každé prihlásenie na captive portáli. Sieť, ktorá vaše zariadenie nevpustila, blokuje oba transporty a porovnanie potom meria portál, nie tunel. Prihláste sa, overte, že bežné prehliadanie funguje, a až potom test spustite.

Cena, ktorú prijímate: TCP vnútri TCP

TCP znovu posiela stratené segmenty a zachováva ich poradie. Keď aplikácia, ktorá tiež používa TCP, beží vnútri tunela TCP, dve vrstvy obnovy reagujú na rovnakú stratu, a práve táto interakcia robí tunel na stratovej ceste pomalým. Symptómom je oneskorenie a kolísanie, nie čisté zlyhanie, čo uľahčuje obviňovať vzdialený koniec. Merajte zo strany klienta pri oboch transportoch, skôr než urobíte záver.

UDP sa tomuto vnoreniu vyhýba, a to je hlavný dôvod, prečo ho operátori uprednostňujú a ponúkajú TCP len ako alternatívu. Stabilné TCP spojenie je stále užitočnejšie než nedostupné UDP spojenie, takže porovnanie je medzi dvoma skutočnými cenami a nie medzi dobrou a zlou možnosťou. Držte zariadenie aj prístupovú sieť nezmenené, kým porovnávate, inak výsledok opíše nesprávnu premennú.

Niektoré klientske funkcie sú zdokumentované len pre jeden transport, takže záložný profil môže ticho vynechať správanie, na ktoré ste sa spoliehali. Prečítajte si požiadavku možnosti na transport, skôr než budete profil TCP považovať za jednoduchú výmenu.

Poruchy, ktorých sa iný transport nedotkne

Expirovaný certifikát stále potrebuje kontrolu hodín alebo obnovenie a odmietnutý účet stále potrebuje správne prihlasovacie údaje. Zachovajte kontroly identity servera, ktoré dodal operátor, pretože známe číslo portu nikoho neautentifikuje. Port, ktorý odpovedá, hovorí len to, že niečo načúva.

Ak sa tunel zdvihne a ciele napriek tomu zlyhávajú, zostávajúcim problémom je smerovanie alebo preklad mien po pripojení, nie transport. Choďte tou cestou namiesto prechádzania portov, pretože tak zmizne popoludnie. Profil vám povie, ktorý transport vyskúšať; nikdy nepovie, prečo cesta UDP zlyhala.