Bakit maraming koneksyon ng app ang nagbabahagi ng isang sesyon ng OpenVPN

Isipin ang isang browser na naglo-load ng pahina ng HTTPS habang ang isang kliyenteng SSH ay umaabot sa ibang server at ang isang resolver ay sumasagot sa isang query, lahat sa pamamagitan ng isang sesyon ng OpenVPN. Sa pisikal na interface nakikita mo ang isang usapan; sa loob ng tunnel nakikita mo ang tatlo. Tama ang parehong pananaw, at ang malaman kung bakit ang pagkakaiba sa pagitan ng kapaki-pakinabang at nakalilitong pagkuha. Sundan ang isang panloob na daloy mula socket hanggang kawad at hindi na abstract ang pagpapatong ng mga layer.

Isang panlabas na usapan, maraming panloob na daloy

Bawat aplikasyon ay nagbubukas ng sarili nitong socket, at binibigyan ito ng kernel ng tuple ng limang elemento: pinagmulang address, pinagmulang port, patutunguhang address, patutunguhang port at protocol. Umiiral na ang mga tuple na iyon bago pa man makialam ang anumang tunnel. Pagkatapos ay magpapasya ang routing na lahat sila ay lumalabas sa pamamagitan ng tunnel device, kaya ang packet na ipinasa sa OpenVPN ay may dalang orihinal na mga header sa loob nito. Ini-encrypt ng OpenVPN ang panloob na packet na iyon at binabalot ang resulta sa isang panlabas na usapan UDP o TCP kasama ang peer. Kaya ang panlabas na usapan ay isa, samantalang ang mga daloy sa loob nito ay kasing dami ng binuksan ng mga aplikasyon.

Walang gumuguho. Nananatili ang mga panloob na tuple mula simula hanggang dulo, at iyon ang dahilan kung bakit nakikilala pa rin ng malayong panig ang tatlong daloy.

Ang port na nananatiling fixed

Ang nananatiling pareho ay ang panlabas na tuple: ang iyong address, ang lokal na port na itinali ng kliyente, ang address ng peer at ang naka-configure na port ng serbisyo. Ang tuple na ito ang dapat payagan ng firewall o NAT sa landas, at ito ang ipapakita ng pagkuha sa uplink. Ito rin ang nagbabago pagkatapos ng muling pagkonekta o paglipat ng network, dahil maaaring magtali ang kliyente ng ibang lokal na port. Ang isang tunnel ay hindi nangangahulugang isang fixed na pinagmulang port magpakailanman.

Ang mga panloob na port ang mahalaga sa mga dulo. Pinapanatili ng daloy ng HTTPS ang patutunguhang port 443 sa loob ng tunnel kahit na ang panlabas na transportasyon ay nakaupo sa port na inayos ng operator. Hindi kailanman nalalaman ng mga dulo ng aplikasyon ang panlabas.

Ano ang binabago ng decapsulation sa malayong dulo

Sa peer, tinatanggal ang panlabas na layer, at ang panloob na packet ang natitira. Mula doon, ang pagpapasa at patakaran sa pag-access ay nalalapat sa panloob na patutunguhan at protocol. Tumatanggap pa rin ng koneksyon ng HTTPS ang web server, tumatanggap pa rin ng SSH ang daemon ng SSH, at tumatanggap pa rin ng query ang resolver.

Kaya ang panuntunang nagpapahintulot sa panlabas na transportasyon ay hindi kaparehong panuntunan sa pagpapahintulot ng panloob na serbisyo. Inilalarawan ng una ang isang landas; inilalarawan ng pangalawa ang isang pahintulot.

Ang panlabas na TCP ay nangangahulugang isang daloy, hindi isang koneksyon

Kapag ang panlabas na transportasyon ay UDP, ang kapalaran ng bawat panloob na daloy ay malaya: ang nawalang datagram ay nakakaapekto sa isang paglilipat hanggang sa sarili nitong muling pagpapadala. Kapag ang panlabas na transportasyon ay TCP, ang lahat ng panloob na daloy ay nagbabahagi ng isang maaasahang byte stream.

Ang pinagsasaluhang daloy na iyon ang bahaging hindi napapansin ng mga tao. Isang beses lang nangyayari ang pagbawi, para sa lahat, kaya ang isang nawalang segment ay nagpapabagal sa trapiko ng bawat aplikasyong naka-multiplex sa loob. Marami pa ring koneksyon sa mga dulo at isang koneksyon sa kawad, at sa kawad nakatira ang epekto ng ulo ng pila. Walang sinasabi sa iyo ang bilang ng mga port na nakikinig tungkol dito, at iyon ang dahilan kung bakit ang pagbilang ng port ay mahinang paraan ng pag-iisip tungkol sa pagganap ng tunnel.

Ilarawan nang tumpak ang sarili mong setup

Pangalanan ang napiling panloob na trapiko at ang tiyak na panlabas na transportasyong nagdadala nito, sa halip na sabihin na ipinapadala ng makina ang lahat sa isang port. Ang mga lokal na serbisyo, isang pangalawang tunnel at ang kabilang pamilya ng address ay lumilikha ng mga daloy na hindi kailanman pumapasok sa usapang ito. Ang pagkuha sa uplink ay nagpapakita ng panlabas na tuple; ang pagkuha sa loob ng tunnel ay nagpapakita ng mga panloob.

Kunin ang pareho, at ilagay ang mga timestamp nang magkatabi. Kung kailangan mong patunayan kung aling aplikasyon ang bumuo ng aling panloob na daloy, ang talahanayan ng socket sa host ang mas mabuting kasangkapan, dahil direktang inuugnay nito ang mga port sa mga proseso. Pagkatapos, isulat ang panlabas na tuple na naobserbahan mo at ang sandaling naobserbahan mo ito, dahil ang susunod na pagkuha pagkatapos ng muling pagkonekta ay maaaring legal na magpakita ng ibang mga numero.