TCP 443 gerçekten yardımcı olur mu? Yalnızca sunucu orada dinliyorsa

TCP 443, ön koşulu olan bir yedek yoldur; tüneli her filtreden geçiren bir kılık değil. Sağlayıcı o bağlantı noktasında zaten bir TCP dinleyicisi yayımlıyorsa ve yol saatlerce açık kalan bir bağlantıya dayanıyorsa yardımcı olur. Bu ikisinden biri yoksa, genellikle zaman aşımı olarak başarısız olur ve zaman aşımı hangisinin eksik olduğunu nadiren söyler. Geçiş kararı üç soru gerektirir ve bunlardan yalnızca biri bağlantı noktası numarasıyla ilgilidir.

Bağlantı noktası numarası bir taşıma vaadi değildir

Bağlantı noktası bir uç noktayı adlandırır; TCP onu sıralı bir bayt akışına dönüştürür; OpenVPN o akışın içinde neyin yol aldığına karar verir. Aynı numaradaki bir web sunucusu tamamen farklı bir uygulama düzeni kullanır, bu yüzden 443 numaralı bağlantı noktasını paylaşmak ikisini bir filtre için benzer gösterir ve daha fazlasını değil. Numara, filtrenin okuduğu bir ipucudur; paketlerin içeriğini değiştiren bir özellik değildir. Bir bağlantı noktasını paylaştıkları için ikisini aynı saymak, buradaki karışıklığın çoğunun arkasındaki hatadır.

Aradaki cihazlar bir bağlantı noktası hakkında nadiren basit bir izin ver veya engelle kararı verir. Birçoğu ilk baytları inceler, bazıları bir hedefi sabitler, bazıları ise çok uzun süre açık kalan bağlantıları sıfırlar. Bu yüzden aynı profil bir ağdan çalışıp bir başkasından zaman aşımına uğrayabilir ve bu yüzden yedek yolu bir vaat olarak güvenmek yerine desteklenen bir seçenek olarak denemeye değer. Bir filtre trafiği incelediğinde, bağlantı noktası numarası yalnızca baktığı ilk şeydir.

Profile dokunmadan önce dinleyiciyi doğrulayın

Sunucu, bağlantı noktasında TCP için yapılandırılmış olmalı ve istemci profili aynı taşımayı istemelidir. Bir UDP profilini TCP isteyecek şekilde yeniden yazmak dinleyiciyi oluşturmaz ve ortaya çıkan zaman aşımı bağlantı noktasını düşüren bir güvenlik duvarından ayırt edilemez. Sağlayıcının kendi TCP profilini varsa indirin, çünkü bazı hizmetler her taşıma için ayrı bir uç nokta ve ayrı kimlik ayarları yayımlar. Elle düzenleme denetimli bir test için iyidir ve sağlayıcının amaçladığı yapılandırmayı tahmin etmek için kötü bir yoldur.

Bu eşleşmenin iki tarafı da yapılandırmada görünür ve OpenVPN projesinin bağlantı seçenekleri her iki biçimi de belgeler. En küçük çift şöyle görünür:

# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443

Üç koşul yedek yolun bedelini hak edip etmediğine karar verir

İlk koşul, sağlayıcının bu taşımayı en azından sunmasıdır; o olmadan başka hiçbir şey önemli değildir. İkincisi, yolun uzun ömürlü bir oturumu canlı tutmasıdır, çünkü bazı ağlar bağlantı noktasını tümüyle engellemek yerine açık kalan bağlantıları sıfırlar. Üçüncüsü, yedek yolun bilinçli bir istisna mı yoksa düzeltmediğiniz bir arızayı gizleyen geçici bir çözüm mü olduğudur.

Her koşulun ucuz bir denetimi vardır. Bunlardan herhangi birinde başarısızlık istemci tarafından aynı görünür:

Taşımaları karşılaştırmadan önce yakalama portalındaki herhangi bir oturum açmayı tamamlayın. Cihazınızı kabul etmemiş bir ağ iki taşımayı da engeller ve o zaman karşılaştırma tüneli değil portalı ölçer. Oturum açın, normal gezinmenin çalıştığını doğrulayın ve ancak ondan sonra testi başlatın.

Kabul ettiğiniz maliyet: TCP içinde TCP

TCP kaybolan segmentleri yeniden gönderir ve sıralarını korur. Kendisi de TCP kullanan bir uygulama bir TCP tünelinin içinde çalıştığında, iki kurtarma katmanı aynı kayba tepki verir ve tüneli kayıplı bir yolda yavaş hissettiren tam da bu etkileşimdir. Belirti temiz bir arıza değil gecikme ve titremdir, bu da uzak ucu suçlamayı kolaylaştırır. Bir sonuca varmadan önce istemci tarafından iki taşımada da ölçün.

UDP bu iç içe geçmeyi önler ve sağlayıcıların onu tercih etmesinin, TCP'yi yalnızca alternatif olarak sunmasının ana nedeni budur. Kararlı bir TCP bağlantısı yine de erişilemez bir UDP bağlantısından daha yararlıdır, bu yüzden karşılaştırma iyi ve kötü seçenek arasında değil, iki gerçek maliyet arasındadır. Karşılaştırırken cihazı ve erişim ağını değişmez tutun, yoksa sonuç yanlış değişkeni anlatır.

Bazı istemci özellikleri yalnızca tek bir taşıma için belgelenmiştir, bu yüzden yedek profil bağlı olduğunuz bir davranışı sessizce bırakabilir. TCP profilini basit bir değişim olarak görmeden önce seçeneğin taşıma gereksinimini okuyun.

Başka bir taşımanın dokunmadığı arızalar

Süresi geçmiş bir sertifika hâlâ bir saat denetimi ya da yenileme gerektirir ve reddedilen bir hesap hâlâ doğru kimlik bilgilerini gerektirir. Sağlayıcının verdiği sunucu kimliği denetimlerini koruyun, çünkü tanıdık bir bağlantı noktası numarası kimseyi doğrulamaz. Yanıt veren bir bağlantı noktası yalnızca bir şeyin dinlediğini söyler.

Tünel açılıp hedefler hâlâ başarısız olursa, kalan sorun bağlantıdan sonraki yönlendirme veya ad çözümlemesidir, taşıma değil. Bağlantı noktaları arasında dönmek yerine o yolu izleyin, çünkü bir öğleden sonra böyle kaybolur. Profil hangi taşımayı deneyeceğinizi söyler; UDP yolunun neden başarısız olduğunu asla söylemez.