Ali ISP blokira UDP ali je to aplikacija v tunelu?

Nekdo poroča, da VPN „blokira UDP“, in ta stavek skriva dve popolnoma različni trditvi. Ena se nanaša na transport, ki ga vidi dostopovno omrežje, druga na pakete aplikacije po tem, ko so bili dešifrirani znotraj tunela. Šifriran tunel je mogoče filtrirati od zunaj brez kakršnega koli ključa, notranja aplikacija UDP pa lahko odpove iz razlogov, ki nimajo nič skupnega s filtriranjem. Odločite se, katero trditev preizkušate, preden začnete zbirati dokaze.

Dve zaglavji, ena beseda

V postavitvi IPsec z NAT-traversalom je zunanji paket UDP, naslovljen med dvema končnima točkama VPN, običajno na vratih 4500. Znotraj njega šifrirana koristna obremenitev nosi vse, kar tunel posreduje, in to je samo lahko TCP ali UDP. Beseda UDP se torej pojavi dvakrat, z različnim pomenom in različno vidnostjo.

Vmesno omrežje vidi zunanje zaglavje in ničesar od notranjega. Lahko dovoli, oblikuje ali zavrže zunanji tok in za to mu ni treba ničesar dešifrirati. Prav ta asimetrija je ves razlog, da se trditvi zamenjujeta: ista beseda opisuje, kaj filtrira omrežje, in kaj pošilja aplikacija. Ob vsaki ugotovitvi zapišite plast ob besedi in zmeda večinoma izgine.

Notranje zaglavje postane vidno šele na prejemni končni točki, po dešifriranju. Od tega trenutka se paket posreduje kot vsak drug, glede na poti, politiko in lastno filtriranje končne točke. To so ločene odločitve, ki jih sprejemajo različne naprave.

Kaj omrežje še vedno vidi

Šifriranje skriva koristno obremenitev in notranje transportno zaglavje, ne pa dejstva, da tok obstaja. Naslovi končnih točk, vrata, velikosti paketov in čas ostanejo vidni, in to zadošča za heuristično razvrščanje prometa ali blokiranje določenega cilja.

sudo tcpdump -ni eth0 'udp port 4500'
sudo tcpdump -ni tun0 'udp port 5201'

Prvi zajem prikazuje zunanji tok na fizičnem vmesniku, drugi pa notranji tok na vmesniku tunela. Izvajanje obeh hkrati neposredno odgovori na vprašanje: če zunanji tok obstaja in notranji ne, aplikacija ni nikoli ničesar poslala v tunel. Če obstajata oba in se nič ne vrne, je težava onkraj tunela, na cilju ali na poti nazaj.

RFC 3948 opredeljuje zunanje zapiranje UDP, specifikacija ESP pa opredeljuje zaščiteno razporeditev znotraj njega. Noben od dokumentov ne obljublja, da bo dostopovno omrežje spustilo zunanji tok skozi, zato je pred kakršno koli teorijo o notranjem vredno izvesti preizkus dosegljivosti na zunanji četvorki. Blokirana zunanja četvorka ustvari tunel, ki nikoli ne nastane, ne tunel, ki nastane in nato izgubi eno aplikacijo.

Zakaj ena aplikacija UDP odpove v delujočem tunelu

Tunel, ki prenaša spletno aplikacijo, ne pa aplikacije UDP, ima več verjetnih razlag, filtriranje notranjega protokola s strani ponudnika pa ni prvo. Najpogostejša je pokritost: obe aplikaciji ne vstopita v isti tunel, ker manjka pot do cilja UDP ali pa ju pravila razdeljenega tunela odjemalca izključujejo.

Druga je končna točka. Strežnik VPN, ki dovoljuje seznam protokolov, požarni zid na cilju ali storitev, ki nikoli ne posluša na pričakovanih vratih, bodo vsi ustvarili časovno omejitev, ki je videti enako kot omrežna blokada.

Tretja je velikost paketa. Aplikacije UDP pogosto pošiljajo večje datagrame od spletne zahteve, zapiranje pa zmanjša uporabni MTU, zato lahko po uspešnem rokovanju nastopi tišina pri prvi polni obremenitvi. Ta vzorec je lahko napačno brati kot blokado, ker majhni paketi gredo skozi, veliki pa izginejo. Hitra preiskava MTU to razreši v manj kot minuti, odgovor pa je običajno manjša obremenitev ali popravljen MSS, ne omrežni filter.

ping -M do -s 1400 -c 2 10.60.0.20
iperf3 -u -c 10.60.0.20 -p 5201 -b 1M -t 5

Prvi ukaz preveri, ali velik paket preživi pot z izklopljenim drobljenjem, kar hitro razkrije težavo z MTU. Drugi pošlje majhen, omejen tok UDP in poroča o izgubah ter jitterju. Tok, ki se začne in nato ustavi, kaže na velikost, ne na blokado.

Poročajte o plasti, ne o protokolu

Ugotovitev zapišite v eni od treh oblik: zunanja dostava ni uspela, notranje posredovanje ni uspelo ali aplikacija ni uspela. Vsaka ima drugega lastnika, njihovo mešanje pa pošlje zahtevek napačni ekipi.

Sprememba lokalnih vrat ne more ustvariti ustreznega poslušalca na oddaljenem koncu, zato je obhod na strani odjemalca, ki se zdi, da pomaga, običajno dokaz, da je bil prvotni cilj napačen. Prav tako dobavljeni nadomestni profil dokazuje nekaj o dosegljivosti in nič o tem, ali je aplikacija pravilno nastavljena.

Sklep ohranite ločen od opazovanja. Analiza prometa lahko nakazuje, kaj je tok, ne da bi ga dešifrirala, in to je koristna ugotovitev, vendar ni ista trditev kot branje notranjega zaglavja. Navedite, katero od tega v resnici imate.