Kërkesat e portave për VPN: tre rreshta që shkruhen para krahasimit
Përcaktoni cilën pyetje për portat e keni në të vërtetë: destinacion në dalje, publikim në hyrje apo transportin e vetë tunelit. Pastaj pyetni ofruesin vetëm për atë.
Listat e portave për shërbimet VPN kopjohen mes faqeve të krahasimit pa detajin që vendos nëse kanë rëndësi: kush e nis lidhjen. Një rregull që lejon TCP 443 në dalje nuk thotë asgjë për atë nëse një host tjetër mund të arrijë një dëgjues në makinën tuaj. Shkruani tre kërkesa të veçanta përpara se të krahasoni një plan të vetëm, dhe shënoni cilat i nevojiten vërtet detyrës tuaj. Shumica e krahasimeve reduktohen në një pyetje të shkurtër sapo ekziston ai fletë.
Ndani kërkesën përpara se të lexoni çdo listë portash
Tre rreshta mbulojnë pothuajse çdo rast: arritja e një destinacioni përtej tunelit, publikimi i diçkaje që të tjerët të mund të lidhen brenda, dhe transportimi i vetë tunelit. Çdo rresht dështon për një arsye tjetër, dhe një politikë ofruesi që plotëson njërin mund t’i lërë dy të tjerët të paprekur. Vendosja e detyrës në rreshtin e duhur kërkon pesë minuta dhe kursen një debat më vonë.
| Line | Who starts it | What can block it | Question for the provider |
|---|---|---|---|
| Outbound destination | Your application | Egress filter on the exit node | Is this protocol and port allowed to that destination? |
| Inbound publishing | A remote peer | No mapping, no public address, short lifetime | Which protocol, which external port, and how long does the mapping last? |
| Tunnel transport | Your client to the gateway | The access network drops that protocol | Does the client offer a fallback the local network permits? |
Deklaratat e marketingut i turbullojnë tre rreshtat me qëllim. Një leje P2P përshkruan një politikë destinacioni, një adresë e dedikuar përshkruan një adresë, dhe pohimi se nuk ka kufizime portash zakonisht do të thotë që plani nuk i rendit ato. Asnjë prej këtyre frazave nuk u përgjigjet të tjerave.
Zgjidhni një rrjedhë konkrete dhe shkruajeni si fjali: iniciatori, transporti, porta, familja e adresave, drejtimi. Një klient kopjesh rezervë të natës që ngarkon në një host të largët është vetëm në dalje. Një server lojrash në tavolinën tuaj ku bashkohen miqtë është në hyrje. Kalimi i të dyjave përmes një tuneli do të thotë që fleta i nevojit të dy rreshtat, jo një kompromis mes tyre.
Qasja në dalje dështon në politikën e destinacionit, jo në tunel
Trafiku në dalje përmes një portë që përkthen krijon gjendje. Paketa e parë nga një adresë dhe portë të brendshme ndërton një zë përkthimi, dhe përgjigjet përputhen me të, që është sjellja e mapimit e përshkruar në RFC 3022. Ky mekanizëm është arsyeja pse një skedë shfletuesi zakonisht funksionon pa asnjë kërkesë porte.
Dy gjëra ende e thyejnë atë. Nyja e daljes mund të filtrojë destinacione ose numra portash që i konsideron të abuzueshme, dhe aplikacioni mund të dëgjojë në një portë që politika e daljes nuk e kishte pritur kurrë. Pyetni për çiftin e destinacionit, jo për rregullat e hyrjes, dhe prisni përgjigje të ndryshme për TCP dhe UDP.
Matni përpara se të debatoni. Ekzekutoni këto në makinën që do të qëndrojë pas tunelit, një herë me tunelin të fikur dhe një herë me atë të ndezur:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://example.com
Të njëjtat komanda, i njëjti destinacion, dy gjendje tuneli i japin operatorit një krahasim para dhe pas mbi të cilin mund të veprojë. Zëvendësoni adresën e dokumentacionit me hostin që ju nevojitet vërtet; e rëndësishme është që krahasimi të përsëritet, jo që ndonjë numër të duket mbresëlënës.
Publikimi në hyrje kërkon një mapim, një adresë dhe një jetëgjatësi
Asgjë nga jashtë nuk mund të nisë një lidhje drejt dëgjuesit tuaj nëse diçka në anën publike nuk e di se ku ta dorëzojë. Një rezervim statik porte i mbajtur nga operatori, një mapim i kërkuar nga klienti përmes UPnP, NAT-PMP ose PCP, dhe një adresë publike e rrugëzuar janë tre produkte të ndryshme me tre kufij të ndryshëm.
Bëni pesë pyetje për cilindo prej tyre: cili protokoll, cila portë e jashtme, nëse porta e jashtme mund të ndryshojë nga ajo lokale, cilën familje adresash mbulon, dhe sa zgjat mapimi pas një rilidhjeje. Një rezervim i lidhur me një sesion aktiv zhduket kur ai sesion përfundon, çfarëdo që thotë faqja e planit.
Konfirmoni fillimisht gjysmën lokale, sepse një dëgjues i vdekur dhe një rrugë hyrëse e bllokuar duken njësoj nga jashtë:
ss -lntup | grep -E ':(8080|51820)\b'
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
Kur kërkesa lokale kthen 200 dhe një kërkesë nga një rrjet që nuk e kontrolloni ende skadon, hendeku është në anën publike. Ai është momenti për t’i thënë operatorit protokollin dhe portën e jashtme në vend që të përshkruani aplikacionin me emër.
Transporti i vetë tunelit është një pyetje më vete
Portat e transportuesit janë pjesa më e vogël e problemit dhe më e lehta për t’u kërkuar. Vlerat e paracaktuara ndryshojnë sipas protokollit, dhe ajo që klienti mund të negociojë ka më shumë rëndësi se çdo përshkrim plani.
| Client | Outer transport | Default port | When it helps |
|---|---|---|---|
| OpenVPN | UDP | 1194 | Default mode; needs outbound UDP to pass |
| OpenVPN | TCP | 443 | UDP is dropped and TCP 443 is not |
| WireGuard | UDP | 51820 | Short handshake; there is no TCP mode |
| IKEv2/IPsec | UDP | 500 and 4500 | Mobile clients; 4500 carries NAT traversal |
Një rrjet që hedh UDP në dalje do të pranojë një tunel TCP 443 dhe do të refuzojë një UDP, prandaj një modalitet rezervë i takon fletës së kërkesave. Ndryshimi i transportuesit nuk lëviz një portë aplikacioni brenda tunelit dhe nuk zgjeron një politikë destinacioni; ato mbeten në rreshtat e tyre.
Fragmentimi meriton një provë ndërsa jeni atje, sepse një tunel që lidhet dhe pastaj ngec në transferime të mëdha zakonisht ka MTU të gabuar dhe jo portë të mbyllur:
ping -M do -s 1400 203.0.113.10 ping -M do -s 1372 203.0.113.10
Në Windows e njëjta provë është ping -f -l 1400 203.0.113.10. Vendosni MTU-në e tunelit nën madhësinë më të madhe që kalon, dhe pastaj ritestoni transferimin që dështoi.
Verifikoni tre rreshtat përpara se të paguani për një plan
Vendosni tre rreshtat në një faqe dhe plotësoni çdo qelizë me një rezultat të matur në vend të një premtimi. Këto komanda prodhojnë gjysmën lokale të asaj faqeje në rreth një minutë:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
ping -M do -s 1400 203.0.113.10
Lexoni daljen si një listë kontrolli. Dalja funksionon kur destinacioni përgjigjet me tunelin të ndezur. Hyrja funksionon vetëm kur një host jashtë rrjetit tuaj arrin dëgjuesin në portën e jashtme. Transportuesi funksionon kur shtrëngimi i duarve përfundon në një protokoll që rrjeti juaj i qasjes lejon.
Dy zakone e mbajnë fletën të ndershme. Shënoni datën dhe versionin e klientit pranë çdo rezultati, sepse lëvizin si politikat e ofruesve ashtu edhe vlerat e paracaktuara të klientëve. Pastaj kërkoni mapimin më të ngushtë që i shërben rrjedhës, sepse një kërkesë për të hapur gjithçka zakonisht sjell një refuzim ose një shitje shtesë në vend të një përgjigjeje teknike.