Ma ISP ayaa xannibaya UDP, mise barnaamijka gudaha tunnel-ka?

Qof wuxuu soo sheegaa in VPN-ku „xannibo UDP“, jumladani waxay qarinaysaa laba sheegasho oo gebi ahaan kala duwan. Mid waxay ku saabsan tahay gaadiidka ay shabakadda gelitaanku arki karto, tan kalena waxay ku saabsan tahay baakadaha barnaamijka ka dib markii lagu sir-dilay gudaha tunnel-ka. Tunnel sir ah waxaa laga filtiri karaa dibadda iyada oo aan la hayn wax fure ah, barnaamijka UDP ee gudahana wuu dhici karaa sababo aan wax xiriir ah la lahayn filtirka. Go'aanso sheegashada aad tijaabinayso ka hor inta aadan ururin caddaymo.

Laba madax, hal eray

Dejinta IPsec oo leh NAT-traversal, baakadda dibadda waa UDP oo cinwaan loo siiyay inta u dhaxaysa labada dhibic ee VPN, sida caadiga ah dekedda 4500. Gudaha, xamuulka sir ah wuxuu qaadaa wax kasta oo tunnel-ku gudbiyo, taas oo iyaduna noqon karta TCP ama UDP. Sidaas darteed erayga UDP wuxuu u muuqdaa laba jeer, macne kala duwan iyo muuqaal kala duwan.

Shabakad dhexdhexaad ah waxay aragtaa madaxa dibadda oo wax kama aragto kan gudaha. Waxay oggolaan kartaa, qaabayn kartaa ama tuuri kartaa qulqulka dibadda, uma baahna inay wax sir-dilto si taas ay u sameyso. Ismaandhaafkaas ayaa ah sababta oo dhan ee labada sheegasho isku qasmo: isla erayga wuxuu qeexaa waxa shabakaddu filtirto iyo waxa barnaamijku diro. Marka aad natiijo diiwaangeliso, qor lakabka agtiisa erayga, jahwareerka badanaa wuu libdhayaa.

Madaxa gudaha wuxuu muuqdaa oo kaliya dhibicda qaabilaysa, ka dib sir-dilka. Waqtigaas ka dib baakadda waxaa loo gudbiyaa sida mid kasta oo kale, iyada oo ku xiran waddooyinka, siyaasadda iyo filtirka dhibicda lafteeda. Kuwani waa go'aamo gooni ah oo ay qaataan aaladaha kala duwan.

Waxa shabakaddu weli arki karto

Sir-dilku wuxuu qariyaa xamuulka iyo madaxa gaadiidka gudaha, ma qariyo xaqiiqda ah in qulqul jiro. Cinwaannada dhibicaha, dekedaha, cabbirka baakadaha iyo waqtiga way muuqdaan, taasina waxay ku filan tahay in taraafikada si qiyaas ah loo kala saaro ama meel gaar ah loo xannibo.

sudo tcpdump -ni eth0 'udp port 4500'
sudo tcpdump -ni tun0 'udp port 5201'

Qabashada koowaad waxay muujinaysaa qulqulka dibadda ee interface-ka jireed, tan labaadna waxay muujinaysaa qulqulka gudaha ee interface-ka tunnel-ka. Labadaba wada shaqeeyntooda si toos ah ayay uga jawaabtaa su'aasha: haddii qulqulka dibaddu jiro oo kan guduhu aanu jirin, barnaamijku waxba kuma dirin tunnel-ka. Haddii labaduba jiraan oo waxna soo noqon, dhibaatadu waxay ka baxsan tahay tunnel-ka, goobta ama wadada soo noqodka.

RFC 3948 wuxuu qeexaa duubista UDP ee dibadda, qeexidda ESP-na waxay qeexdaa qaabka la ilaaliyay ee gudaha. Midkoodna dokumentiga ma ballanqaado in shabakad gelitaan ay dhaqaajin doonto qulqulka dibadda, sidaas darteed test-ka gaaritaanka ee tuple-ka dibadda waa mudan in la sameeyo ka hor aragti kasta oo ku saabsan kan gudaha. Tuple dibadda oo xanniban waxay soo saartaa tunnel aan waligiis dhalan, ma aha tunnel dhalan oo markaas lumiya hal barnaamij.

Sababta hal barnaamij UDP ugu dhiciso gudaha tunnel shaqeeya

Tunnel qaada barnaamij web laakiin aan qaadin barnaamij UDP wuxuu leeyahay dhowr sharraxaad oo macquul ah, filtirka borotokoolka gudaha ee ISP-na maaha kan koowaad. Tan ugu caansan waa daboolka: labada barnaamij ma galaan isla tunnel, sababtoo ah wadada loo maro goobta UDP ma jirto ama xeerarka tunnel-ka qaybsan ee macmiilka ayaa ka reebay.

Tan labaad waa dhibicda. Server VPN oo oggolaada liiska borotokoolka, dab-demiska goobta, ama adeeg aan waligiis dhageysan dekedda la filayay, dhammaantood waxay soo saari doonaan waqti-dhaafid la mid ah xannibaadda shabakadda.

Tan saddexaad waa cabbirka baakadda. Barnaamijyada UDP waxay inta badan diraan datagram ka weyn codsiga web, duubistuna waxay yareysaa MTU la isticmaali karo, sidaas darteed ka dib gacan-qabsasho guuleysatay aamusnaan ayaa iman karta xamuulka koowaad ee cabbir buuxa. Qaabkan si khaldan ayaa loo akhrin karaa xannibaad, sababtoo ah baakadaha yaryar way gudbaan kuwa waaweynna way lunto. Baaritaan MTU degdeg ah ayaa tan ku xalliya wax ka yar hal daqiiqo, jawaabtuna badanaa waa xamuul yar ama MSS la saxay, ma aha filter shabakadeed.

ping -M do -s 1400 -c 2 10.60.0.20
iperf3 -u -c 10.60.0.20 -p 5201 -b 1M -t 5

Amarka koowaad wuxuu tijaabiyaa haddii baakad weyn ay ka gudubto wadada iyada oo kala-baqdin la damiyay, taas oo dhibaatada MTU si degdeg ah u muujisa. Tan labaad waxay diraa qulqul UDP yar oo xaddidan waxayna soo sheegtaa lumis iyo jitter. Qulqul bilaaba ka dibna istaaga wuxuu tilmaamaa cabbirka, ma aha xannibaad.

Soo sheeg lakabka, ma aha borotokoolka

Ku qor natiijada mid ka mid ah saddex qaab: gaarsiinta dibadda way guuldareysatay, gudbinta gudaha way guuldareysatay, ama barnaamijku wuu guuldareystay. Mid kastaa wuxuu leeyahay milkiile kala duwan, isku darkooduna wuxuu tikitka u diraa koox khaldan.

Beddelka deked maxalli ah ma abuuri karo dhageyste u dhigma dhanka fog, sidaas darteed xalka dhinaca macmiilka ee u muuqda mid caawinaya badanaa waa caddayn in goobta asalka ahayd khalad. Sidoo kale, borofaylka beddelka ah ee la bixiyay wuxuu caddeeyaa wax ku saabsan gaaritaanka oo waxna kama caddeeyo haddii barnaamijku si sax ah loo habeeyay.

Kala fogee qiyaasta iyo indho-indheynta. Falanqaynta taraafikadu waxay soo jeedin kartaa waxa qulqulku yahay iyada oo aan la sir-dilin, taasina waa natiijo faa'iido leh, laakiin maaha isla sheegashada akhrinta madaxa gudaha. Sheeg kee ayaad dhab ahaan haysataa.