TCP 443 haqiqatan yordam beradimi? Faqat server o‘sha yerda tinglasa

TCP 443 oldindan shart qo‘yilgan zaxira yo‘l, har qanday filtrdan tunnelni sirg‘alib o‘tkazadigan niqob emas. Operator allaqachon o‘sha portda TCP tinglovchisini e’lon qilgan bo‘lsa va yo‘l soatlab ochiq qoladigan ulanishga chidasa, u yordam beradi. Ikkisidan biri bo‘lmasa, u odatda vaqt tugashi sifatida muvaffaqiyatsiz bo‘ladi va vaqt tugashi qaysi biri yetishmayotganini kamdan-kam aytadi. Almashtirish qarori uchta savolni talab qiladi va ulardan faqat bittasi port raqami haqida.

Port raqami transport va’dasi emas

Port oxirgi nuqtani nomlaydi; TCP uni tartiblangan bayt oqimiga aylantiradi; OpenVPN o‘sha oqim ichida nima yurishini hal qiladi. Xuddi shu raqamdagi veb-server butunlay boshqa dastur tuzilishidan foydalanadi, shuning uchun 443 portni bo‘lishish ikkalasini filtr uchun o‘xshash qilib ko‘rsatadi, ortiq emas. Raqam filtr o‘qiydigan ishora, paketlar mazmunini o‘zgartiradigan xususiyat emas. Faqat portni bo‘lishadi deb ikkalasini bir deb hisoblash bu yerdagi chalkashlikning ko‘p qismi orqasidagi xatodir.

Oraliq qurilmalar port haqida oddiy ruxsat-yoki-taqiqlash qarorini kamdan-kam qabul qiladi. Ko‘pchiligi birinchi baytlarni tekshiradi, ba’zilari manzilni mahkamlaydi, yana ba’zilari juda uzoq ochiq qolgan ulanishlarni qayta o‘rnatadi. Shuning uchun bir xil profil bir tarmoqdan ishlab, boshqasidan vaqt tugashiga yetishi mumkin, va shuning uchun zaxira yo‘lni va’da sifatida ishonish o‘rniga qo‘llab-quvvatlanadigan variant sifatida sinab ko‘rish kerak. Filtr trafikni tekshirganda, port raqami u qaraydigan birinchi narsa xolos.

Profilga tegishdan oldin tinglovchini tasdiqlang

Server portda TCP uchun sozlangan bo‘lishi kerak, mijoz profili esa xuddi shu transportni so‘rashi kerak. UDP profilini TCP so‘raydigan qilib qayta yozish tinglovchini yaratmaydi va shundan kelib chiqadigan vaqt tugashi portni tashlab yuboradigan xavfsizlik devoridan ajralmaydi. Operatorning o‘z TCP profili bo‘lsa, uni yuklab oling, chunki ba’zi xizmatlar har bir transport uchun alohida oxirgi nuqta va alohida identifikatsiya sozlamalarini e’lon qiladi. Qo‘lda tahrirlash nazorat qilinadigan sinov uchun yaxshi, provayderning ko‘zda tutgan sozlamasini taxmin qilish uchun esa yomon yo‘l.

Bu moslikning ikki tomoni sozlamada ko‘rinadi va OpenVPN loyihasining ulanish parametrlari ikkala shaklni ham hujjatlashtiradi. Eng kichik juftlik shunday ko‘rinadi:

# server: accept TCP on this port
proto tcp-server
port 443
# client: request the same transport
proto tcp
remote vpn.example.com 443

Uch shart zaxira yo‘l o‘z narxini oqlaydimi-yo‘qmi hal qiladi

Birinchi shart — operator bu transportni umuman taklif qilishi; usiz qolgan hech narsa muhim emas. Ikkinchisi — yo‘l uzoq muddatli sessiyani tirik saqlashi, chunki ba’zi tarmoqlar portni butunlay to‘sish o‘rniga ochiq qolgan ulanishlarni qayta o‘rnatadi. Uchinchisi — zaxira yo‘l ataylab qilingan istisnomi yoki siz tuzatmagan nosozlikni yashiradigan vaqtinchalik yechimmi.

Har bir shartning arzon tekshiruvi bor. Ulardan birortasida muvaffaqiyatsizlik mijoz tomondan bir xil ko‘rinadi:

Transportlarni solishtirishdan oldin asir portalida har qanday kirishni tugating. Qurilmangizni qabul qilmagan tarmoq ikkala transportni ham to‘sadi, va o‘shanda solishtirish tunnelni emas, portalni o‘lchaydi. Kiring, oddiy ko‘rish ishlashini tasdiqlang, shundan keyingina sinovni boshlang.

Siz qabul qiladigan xarajat: TCP ichida TCP

TCP yo‘qolgan segmentlarni qayta yuboradi va ularning tartibini saqlaydi. O‘zi ham TCP ishlatadigan dastur TCP tunneli ichida ishlaganda, ikki tiklash qatlami bir xil yo‘qotishga munosabat bildiradi va tunnelning yo‘qotishli yo‘lda sekin tuyulishiga aynan shu o‘zaro ta’sir sabab bo‘ladi. Alomat toza nosozlik emas, kechikish va tebranish bo‘lib, uzoq tomonni ayblashni osonlashtiradi. Xulosa chiqarishdan oldin mijoz tomondan ikkala transportda ham o‘lchab ko‘ring.

UDP bu ichki joylashuvdan qochadi va operatorlarning uni afzal ko‘rishi hamda TCP ni faqat muqobil sifatida taklif qilishining asosiy sababi shu. Barqaror TCP ulanish baribir yetib bo‘lmaydigan UDP ulanishdan foydaliroq, shuning uchun solishtirish yaxshi va yomon variant o‘rtasida emas, ikki haqiqiy xarajat o‘rtasida. Solishtirayotganda qurilma va kirish tarmog‘ini o‘zgartirmasdan saqlang, aks holda natija noto‘g‘ri o‘zgaruvchini tasvirlaydi.

Ba’zi mijoz funksiyalari faqat bitta transport uchun hujjatlashtirilgan, shuning uchun zaxira profil siz tayangan xatti-harakatni jimgina tashlab ketishi mumkin. TCP profilini oddiy almashtirish deb hisoblashdan oldin variantning transport talabini o‘qing.

Boshqa transport tegmaydigan nosozliklar

Muddati o‘tgan sertifikat baribir soat tekshiruvini yoki yangilashni talab qiladi, rad etilgan hisob esa baribir to‘g‘ri hisob ma’lumotlarini talab qiladi. Operator bergan server identifikatsiyasi tekshiruvlarini saqlab qo‘ying, chunki tanish port raqami hech kimni autentifikatsiya qilmaydi. Javob beradigan port faqat nimadir tinglayotganini aytadi.

Agar tunnel ko‘tarilib, manzillar baribir ishlamasa, qolgan muammo ulanishdan keyingi marshrutlash yoki nomlarni hal qilishdir, transport emas. Portlarni almashtirib aylanib yurish o‘rniga o‘sha yo‘lga boring, chunki bir tushlik shunday yo‘qoladi. Profil qaysi transportni sinash kerakligini aytadi; UDP yo‘li nima uchun ishlamaganini u hech qachon aytmaydi.