Pse shumë lidhje aplikacionesh ndajnë një sesion të vetëm OpenVPN

Imagjinoni një shfletues që ngarkon një faqe HTTPS ndërsa një klient SSH arrin një server tjetër dhe një zgjidhës përgjigjet një pyetjeje, të gjitha përmes një sesioni të vetëm OpenVPN. Në ndërfaqen fizike shihni një bisedë; brenda tunelit shihni tri. Të dyja pamjet janë të sakta, dhe ta dish pse është dallimi mes një kapjeje të dobishme dhe një të ngatërruar. Ndiqni një rrjedhë të brendshme nga soketi deri në tel dhe shtresimi nuk është më abstrakt.

Një bisedë e jashtme, shumë rrjedha të brendshme

Çdo aplikacion hap soketin e vet, dhe kerneli i jep një tuple prej pesë elementësh: adresa e burimit, porta e burimit, adresa e destinacionit, porta e destinacionit dhe protokolli. Këto tuple ekzistojnë përpara se të përfshihet ndonjë tunel. Pastaj rrugëtimi vendos që të gjitha dalin përmes pajisjes së tunelit, kështu që paketa që i dorëzohet OpenVPN vazhdon të mbajë brenda titujt origjinalë. OpenVPN kripton atë paketë të brendshme dhe e mbështjell rezultatin në një bisedë të vetme të jashtme UDP ose TCP me partnerin. Pra biseda e jashtme është një, ndërsa rrjedhat brenda saj janë aq sa hapën aplikacionet.

Asgjë nuk shembet. Tuplet e brendshme mbijetojnë nga fillimi në fund, dhe për këtë arsye ana e largët ende i dallon tri rrjedhat.

Porta që mbetet e fiksuar

Ajo që mbetet konstante është tuple-i i jashtëm: adresa juaj, porta lokale që klienti lidhi, adresa e partnerit dhe porta e shërbimit e konfiguruar. Ky tuple është ai që një firewall ose NAT në rrugë duhet të lejojë, dhe është ai që do të tregojë një kapje në lidhjen lart. Është gjithashtu ai që ndryshon pas një rilidhjeje ose ndryshimi rrjeti, sepse klienti mund të lidhë një portë tjetër lokale. Një tunel nuk nënkupton një portë burimi të fiksuar përgjithmonë.

Portat e brendshme janë ajo që u intereson pikave fundore. Një rrjedhë HTTPS e mban portën e destinacionit 443 brenda tunelit, edhe pse transporti i jashtëm qëndron në portën që ka konfiguruar operatori. Pikat fundore të aplikacionit nuk mësojnë kurrë për atë të jashtmen.

Çfarë ndryshon dekapsulimi në skajin e largët

Tek partneri shtresa e jashtme hiqet, dhe paketa e brendshme është ajo që mbetet. Nga aty, përcjellja dhe politika e aksesit zbatohen për destinacionin dhe protokollin e brendshëm. Serveri i uebit ende merr një lidhje HTTPS, demoni SSH ende merr SSH, dhe zgjidhësi ende merr një pyetje.

Prandaj një rregull që lejon transportin e jashtëm nuk është i njëjti rregull si lejimi i një shërbimi të brendshëm. I pari përshkruan një rrugë; i dyti përshkruan një autorizim.

TCP i jashtëm do të thotë një rrjedhë, jo një lidhje

Kur transporti i jashtëm është UDP, fati i çdo rrjedhe të brendshme është i pavarur: një datagram i humbur ndikon në një transmetim deri në ritransmetimin e tij. Kur transporti i jashtëm është TCP, të gjitha rrjedhat e brendshme ndajnë një rrjedhë të vetme bajtesh të besueshme.

Kjo rrjedhë e përbashkët është pjesa që njerëzit e humbin. Rikuperimi ndodh një herë, për gjithçka, kështu që një segment i humbur vonon trafikun e çdo aplikacioni të multipleksuar brenda. Ende ka shumë lidhje në pikat fundore dhe një lidhje në tel, dhe në tel jeton efekti i kokës së radhës. Numri i portave që dëgjojnë nuk ju tregon asgjë për këtë, dhe prandaj numërimi i portave është një mënyrë e dobët për të arsyetuar mbi performancën e tunelit.

Përshkruani me saktësi konfigurimin tuaj

Përmendni trafikun e brendshëm të zgjedhur dhe transportin e jashtëm specifik që e mbart atë, në vend që të thoni se makina dërgon gjithçka përmes një porte. Shërbimet lokale, një tunel i dytë dhe familja tjetër e adresave krijojnë rrjedha që nuk hyjnë kurrë në këtë bisedë. Një kapje në lidhjen lart tregon tuple-in e jashtëm; një kapje brenda tunelit tregon ata të brendshëm.

Merrini të dyja, dhe vendosni vulat kohore krah për krah. Nëse duhet të provoni se cili aplikacion gjeneroi cilën rrjedhë të brendshme, tabela e soketëve në host është instrumenti më i mirë, sepse i lidh portat drejtpërdrejt me proceset. Pastaj shkruani tuple-in e jashtëm që vëzhguat dhe çastin kur e vëzhguat, sepse kapja tjetër pas një rilidhjeje mund të tregojë fare ligjërisht numra të tjerë.