Ali TCP 443 resnično pomaga? Le če strežnik tam posluša

TCP 443 je rezervna pot s predpogojem, ne preobleka, ki bi tunel pretihotapila mimo katerega koli filtra. Pomaga, ko ponudnik že objavlja poslušalca TCP na teh vratih in pot prenese povezavo, ki ostane odprta ure in ure. Spodleti, običajno kot časovna omejitev, ko eno od tega manjka, in časovna omejitev le redko pove, katero. Odločitev o preklopu zahteva tri vprašanja in le eno od njih zadeva številko vrat.

Številka vrat ni obljuba prenosa

Vrata poimenujejo končno točko; TCP jih spremeni v urejen tok bajtov; OpenVPN odloči, kaj potuje znotraj tega toka. Spletni strežnik na isti številki uporablja povsem drugačno razporeditev aplikacije, zato skupna vrata 443 naredijo oba za filter podobna in nič več. Številka je namig, ki ga filter bere, ne lastnost, ki bi spreminjala vsebino paketov. Obravnavati jih kot isto, ker si delita vrata, je napaka, ki stoji za večino tukajšnje zmede.

Vmesne naprave le redko sprejmejo preprosto odločitev dovoli-ali-prepovej glede vrat. Veliko jih pregleda prve bajte, nekatere pripnejo cilj, druge pa ponastavijo povezave, ki ostanejo odprte predolgo. Zato lahko isti profil deluje iz enega omrežja in poteče iz drugega, in zato je rezervno pot vredno preizkusiti kot podprto možnost, namesto da bi ji zaupali kot obljubi. Ko filter pregleduje promet, je številka vrat le prva stvar, ki jo pogleda.

Potrdite poslušalca, preden se dotaknete profila

Strežnik mora biti nastavljen za TCP na teh vratih, odjemalski profil pa mora zahtevati isti prenos. Prepisovanje profila UDP, da zahteva TCP, ne ustvari poslušalca, in nastala časovna omejitev se ne razlikuje od požarnega zidu, ki vrata zavrže. Prenesite ponudnikov lastni profil TCP, ko obstaja, ker nekatere storitve objavljajo ločeno končno točko in ločene nastavitve identitete za vsak prenos. Ročno urejanje je dobro za nadzorovan test in slab način za ugibanje predvidene konfiguracije ponudnika.

Obe strani tega ujemanja se vidita v konfiguraciji in možnosti povezave projekta OpenVPN dokumentirajo obe obliki. Najmanjši par je videti takole:

# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443

Trije pogoji odločijo, ali se rezervna pot izplača

Prvi pogoj je, da ponudnik prenos sploh ponuja; brez tega nič drugega ni pomembno. Drugi je, da pot ohrani dolgotrajno sejo živo, saj nekatera omrežja ponastavijo povezave, ki ostanejo odprte, namesto da bi vrata povsem blokirala. Tretji je, ali je rezervna pot namerna izjema ali obhod, ki skriva okvaro, ki je niste odpravili.

Vsak pogoj ima poceni preverjanje. Neuspeh pri katerem koli od njih je s strani odjemalca videti enako:

Preden primerjate prenose, dokončajte vsako prijavo na ujetem portalu. Omrežje, ki ni sprejelo vaše naprave, blokira oba prenosa, in primerjava nato meri portal in ne tunela. Prijavite se, potrdite, da običajno brskanje deluje, in šele nato začnite test.

Cena, ki jo sprejmete: TCP znotraj TCP

TCP znova pošlje izgubljene segmente in ohrani njihov vrstni red. Ko aplikacija, ki prav tako uporablja TCP, teče znotraj tunela TCP, se dva obnovitvena sloja odzivata na isto izgubo, in prav ta interakcija naredi tunel počasen na poti z izgubami. Simptom je zakasnitev in tresenje, ne čista napaka, kar olajša kriviti oddaljeni konec. Merite s strani odjemalca pri obeh prenosih, preden sklepate.

UDP se izogne temu gnezdenju, in to je glavni razlog, da ga ponudniki raje izberejo in ponujajo TCP le kot alternativo. Stabilna povezava TCP je še vedno bolj uporabna kot nedosegljiva povezava UDP, zato je primerjava med dvema resničnima cenama in ne med dobro in slabo možnostjo. Med primerjavo držite napravo in dostopovno omrežje nespremenjena, sicer bo rezultat opisal napačno spremenljivko.

Nekatere odjemalske funkcije so dokumentirane le za en prenos, zato lahko rezervni profil tiho spusti vedenje, na katero ste se zanašali. Preberite zahtevo možnosti glede prenosa, preden profil TCP obravnavate kot preprosto zamenjavo.

Okvare, ki se jih drug prenos ne dotakne

Potecenemu potrdilu še vedno potrebuje preverjanje ure ali obnovitev, zavrnjenemu računu pa še vedno ustrezne poverilnice. Ohranite preverjanja identitete strežnika, ki jih je zagotovil ponudnik, ker znana številka vrat nikogar ne avtentificira. Vrata, ki odgovorijo, povedo le, da nekaj posluša.

Če se tunel dvigne in cilji še vedno spodletijo, je preostala težava usmerjanje ali razreševanje imen po povezavi, ne prenos. Sledite tej poti, namesto da se vrtite po vratih, saj tako izgine popoldne. Profil pove, kateri prenos preizkusiti; nikoli ne pove, zakaj je pot UDP spodletela.