UDP-ni ISP bloklaydimi yoki tunnel ichidagi dasturmi?

Kimdir VPN „UDP-ni bloklaydi“ deb xabar beradi va bu jumla ikki butunlay boshqa da'voni yashiradi. Biri kirish tarmog'i ko'ra oladigan transport haqida, ikkinchisi tunnel ichida shifri ochilgandan keyingi dastur paketlari haqida. Shifrlangan tunnelni hech qanday kalitsiz tashqaridan filtrlash mumkin, ichki UDP dasturi esa filtrlashga aloqasi bo'lmagan sabablarga ko'ra ishlamay qolishi mumkin. Dalil to'plashdan oldin qaysi da'voni sinab ko'rayotganingizni aniqlang.

Ikki sarlavha, bitta so'z

NAT-traversal bilan IPsec o'rnatishda tashqi paket UDP bo'lib, ikki VPN so'nggi nuqtasi o'rtasida manzillangan, odatda 4500-portda. Uning ichida shifrlangan yuk tunnel uzatadigan hamma narsani tashiydi, va bu o'zi TCP yoki UDP bo'lishi mumkin. Shuning uchun UDP so'zi ikki marta, har xil ma'no va har xil ko'rinish bilan chiqadi.

Oraliq tarmoq tashqi sarlavhani ko'radi, ichkisidan hech narsani ko'rmaydi. U tashqi oqimni ruxsat berishi, shakllantirishi yoki tashlab yuborishi mumkin va buning uchun hech narsani shifrdan chiqarishi shart emas. Aynan shu assimetriya ikki da'vo chalkashishining butun sababidir: bir so'z ham tarmoq filtrlaydigan narsani, ham dastur yuboradigan narsani tasvirlaydi. Har qanday topilmani qayd etganda so'z yoniga qatlamni yozing, chalkashlik asosan yo'qoladi.

Ichki sarlavha faqat qabul qiluvchi so'nggi nuqtada, shifr ochilgandan keyin ko'rinadi. Shu paytdan boshlab paket boshqalar kabi uzatiladi, marshrutlar, siyosat va so'nggi nuqtaning o'z filtrlashiga bo'ysunadi. Bular turli qurilmalar qabul qiladigan alohida qarorlar.

Tarmoq hali nimalarni ko'ra oladi

Shifrlash yukni va ichki transport sarlavhasini yashiradi, oqim mavjudligi faktini emas. So'nggi nuqta manzillari, portlar, paket o'lchamlari va vaqt ko'rinib turadi, va bu trafikni evristik tasniflash yoki aniq manzilni bloklash uchun yetarli.

sudo tcpdump -ni eth0 'udp port 4500'
sudo tcpdump -ni tun0 'udp port 5201'

Birinchi yozib olish fizik interfeysdagi tashqi oqimni, ikkinchisi tunnel interfeysidagi ichki oqimni ko'rsatadi. Ikkalasini bir vaqtda ishga tushirish savolga to'g'ridan-to'g'ri javob beradi: agar tashqi oqim bo'lib, ichkisi bo'lmasa, dastur tunnelga hech narsa yubormagan. Agar ikkalasi ham bo'lib, hech narsa qaytmasa, muammo tunneldan tashqarida — manzilda yoki qaytish yo'lida.

RFC 3948 tashqi UDP inkapsulyatsiyasini belgilaydi, ESP spetsifikatsiyasi esa uning ichidagi himoyalangan tuzilmani belgilaydi. Ikki hujjatning hech biri kirish tarmog'i tashqi oqimni o'tkazishiga va'da bermaydi, shuning uchun ichkisi haqidagi har qanday nazariyadan oldin tashqi kortejda yetib borish sinovini o'tkazishga arziydi. Bloklangan tashqi kortej hech qachon shakllanmaydigan tunnel hosil qiladi, shakllanib keyin bitta dasturni yo'qotadigan tunnel emas.

Nega ishlayotgan tunnel ichida bitta UDP dasturi ishlamay qoladi

Veb-dasturni tashiyotgan, ammo UDP dasturini tashimayotgan tunnelning bir necha ishonchli izohi bor, va ISP tomonidan ichki protokolning filtrlanishi birinchisi emas. Eng ko'p uchraydigan qamrov: ikki dastur bir tunnelga birga kirmaydi, chunki UDP manziliga marshrut yo'q yoki mijozning bo'lingan tunnel qoidalari uni istisno qiladi.

Ikkinchisi — so'nggi nuqta. Protokollar ro'yxatiga ruxsat beruvchi VPN serveri, manzildagi xavfsizlik devori yoki kutilgan portda hech qachon tinglamaydigan xizmat — barchasi tarmoq blokiga o'xshab ko'rinadigan kutish vaqtini keltirib chiqaradi.

Uchinchisi — paket o'lchami. UDP dasturlari ko'pincha veb-so'rovdan kattaroq datagrammalar yuboradi, inkapsulyatsiya esa foydalanish mumkin bo'lgan MTU-ni kamaytiradi, shuning uchun muvaffaqiyatli qo'l siqishdan keyin birinchi to'liq o'lchamli yukda sukunat kelishi mumkin. Bu namunani blok deb noto'g'ri o'qish oson, chunki kichik paketlar o'tadi, kattalari esa yo'qoladi. Tezkor MTU tekshiruvi buni bir daqiqadan kamroq vaqtda hal qiladi va javob odatda tarmoq filtri emas, balki kichikroq yuk yoki tuzatilgan MSS bo'ladi.

ping -M do -s 1400 -c 2 10.60.0.20
iperf3 -u -c 10.60.0.20 -p 5201 -b 1M -t 5

Birinchi buyruq katta paketning fragmentatsiya o'chirilgan holatda yo'lni bosib o'tishini tekshiradi, bu MTU muammosini tez ochib beradi. Ikkinchisi kichik, cheklangan UDP oqimini yuboradi va yo'qotish hamda jitter haqida xabar beradi. Boshlanib, keyin to'xtab qolgan oqim blokka emas, o'lchamga ishora qiladi.

Protokolni emas, qatlamni xabar qiling

Topilmani uch shakldan birida yozing: tashqi yetkazib berish muvaffaqiyatsiz bo'ldi, ichki uzatish muvaffaqiyatsiz bo'ldi yoki dastur muvaffaqiyatsiz bo'ldi. Har birining egasi boshqa, va ularni aralashtirish chiptani noto'g'ri jamoaga yuboradi.

Mahalliy portni o'zgartirish uzoq tomonda mos tinglovchini yarata olmaydi, shuning uchun yordam berga o'xshagan mijoz tomonidagi yechim odatda dastlabki manzil noto'g'ri bo'lganiga dalildir. Xuddi shunday, taqdim etilgan muqobil profil yetib borish haqida biror narsani isbotlaydi, dasturning to'g'ri sozlanganligi haqida esa hech narsani emas.

Xulosani kuzatishdan alohida tuting. Trafik tahlili shifrni ochmasdan oqim nima ekanini ko'rsatishi mumkin, va bu foydali topilma, ammo bu ichki sarlavhani o'qish bilan bir xil da'vo emas. Sizda qaysi biri borligini aniq ayting.