Да ли TCP 443 заиста помаже? Само ако сервер тамо слуша
TCP профил је резервни пут, а не маскирање. Проверите да ли сервер слуша на том порту, па одмерите цену двоструког TCP-а наспрам недоступности.
TCP 443 је резервни пут са предусловом, а не маскирање које провлачи тунел поред сваког филтера. Помаже када оператер већ објављује TCP слушаоца на том порту и када пут подноси везу која остаје отворена сатима. Не успева, обично као истек времена, када једно од тога двоје недостаје, а истек времена ретко каже које. Одлука о преласку тражи три питања, а само једно од њих тиче се броја порта.
Број порта није обећање транспорта
Порт именује крајњу тачку; TCP од ње прави уређени ток бајтова; OpenVPN одлучује шта путује унутар тог тока. Веб сервер на истом броју користи потпуно другачији распоред апликације, па заједнички порт 443 чини њих двоје сличним за филтер и ништа више. Број је наговештај који филтер чита, а не својство које мења оно што пакети садрже. Третирати њих двоје као исто зато што деле порт је грешка која стоји за већином збрке овде.
Посредни уређаји ретко доносе једноставну одлуку дозволи-или-забрани о неком порту. Многи прегледају прве бајтове, неки фиксирају одредиште, а неки ресетују везе које остају отворене предуго. Зато исти профил може да ради из једне мреже и истекне из друге, и зато резервни пут вреди тестирати као подржану опцију, а не веровати му као обећању. Када филтер прегледа саобраћај, број порта је само прво у шта гледа.
Потврдите слушаоца пре него што дотакнете профил
Сервер мора бити конфигурисан за TCP на том порту, а клијентски профил мора да тражи исти транспорт. Преписивање UDP профила да тражи TCP не ствара слушаоца, а настали истек времена не разликује се од заштитног зида који одбацује порт. Преузмите оператеров сопствени TCP профил када постоји, јер неке услуге објављују засебну крајњу тачку и засебна подешавања идентитета за сваки транспорт. Ручно уређивање је добро за контролисани тест и лош начин да погодите намеравану конфигурацију провајдера.
Обе стране тог подударања виде се у конфигурацији, а опције везе пројекта OpenVPN документују оба облика. Минимални пар изгледа овако:
# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443Три услова одлучују да ли се резервни пут исплати
Први услов је да оператер уопште нуди тај транспорт; без тога ништа друго није важно. Други је да пут одржава дуготрајну сесију живом, јер неке мреже ресетују везе које остају отворене уместо да порт потпуно блокирају. Трећи је да ли је резервни пут намерни изузетак или привремено решење које скрива квар који нисте поправили.
Сваки услов има јефтину проверу. Неуспех на било ком од њих изгледа исто са стране клијента:
| Condition | How to check it | What a failure decides |
|---|---|---|
| The server offers TCP | The operator's profile list, or a listening-socket check on the server | No client-side edit can help |
| The path keeps long sessions | A test connection left open for an hour | Reconnects will look like server faults |
| The fallback is deliberate | A change record naming the UDP fault | The underlying fault stays invisible |
Пре него што упоредите транспорте, завршите сваку пријаву на заробљеном порталу. Мрежа која није пустила ваш уређај блокира оба транспорта, а онда поређење мери портал, а не тунел. Пријавите се, потврдите да обично прегледање ради, и тек онда почните тест.
Цена коју прихватате: TCP унутар TCP-а
TCP поново шаље изгубљене сегменте и чува њихов редослед. Када апликација која такође користи TCP ради унутар TCP тунела, два слоја за опоравак реагују на исти губитак, и управо та интеракција чини да тунел изгледа спор на путу са губицима. Симптом је кашњење и подрхтавање, а не чист неуспех, што олакшава окривљавање даљег краја. Мерите са стране клијента под оба транспорта пре него што закључите.
UDP избегава то угњежђивање, и то је главни разлог зашто га оператери преферирају и нуде TCP само као алтернативу. Стабилна TCP веза је ипак кориснија од недоступне UDP везе, па је поређење између две стварне цене, а не између добре и лоше опције. Држите уређај и приступну мрежу непромењеним док поредите, иначе резултат описује погрешну променљиву.
Неке клијентске функције документоване су само за један транспорт, па резервни профил може тихо да изостави понашање на које сте се ослањали. Прочитајте захтев опције за транспорт пре него што TCP профил третирате као обичну замену.
Кварови које други транспорт не дотиче
Истекао сертификат и даље тражи проверу сата или обнову, а одбијен налог и даље тражи исправне акредитиве. Задржите провере идентитета сервера које је оператер дао, јер познат број порта никога не аутентификује. Порт који одговара каже само да нешто слуша.
Ако се тунел подигне, а одредишта и даље не раде, преостали проблем је усмеравање или разрешавање имена после везе, а не транспорт. Следите тај пут уместо да кружите кроз портове, јер тако нестане једно поподне. Профил вам каже који транспорт да пробате; никада не каже зашто је UDP пут заказао.