Nega ko‘plab ilova ulanishlari bitta OpenVPN seansini bo‘lishadi

Brauzer HTTPS sahifasini yuklayotganini, SSH mijozi boshqa serverga yetib borayotganini va hal qiluvchi so‘rovga javob berayotganini tasavvur qiling — barchasi bitta OpenVPN seansi orqali. Jismoniy interfeysda bitta suhbat ko‘rasiz; tunnel ichida uchtasini ko‘rasiz. Ikkala qarash ham to‘g‘ri, va nima uchunligini bilish foydali va chalkashtiruvchi yozib olish o‘rtasidagi farqdir. Bitta ichki oqimni soketdan simgacha kuzatib boring, qatlamlilik endi mavhum bo‘lmaydi.

Bitta tashqi suhbat, ko‘plab ichki oqimlar

Har bir ilova o‘z soketini ochadi va yadro unga besh elementli kortej beradi: manba manzili, manba porti, manzil manzili, manzil porti va protokol. Bu kortejlar har qanday tunnel ishtirok etishidan oldin mavjud. Keyin marshrutlash ularning barchasi tunnel qurilmasidan chiqishini hal qiladi, shuning uchun OpenVPN ga berilgan paket hali ham ichida asl sarlavhalarni olib yuradi. OpenVPN o‘sha ichki paketni shifrlaydi va natijani sherik bilan bitta tashqi UDP yoki TCP suhbatiga o‘raydi. Demak, tashqi suhbat bitta, ichidagi oqimlar esa ilovalar ochganicha ko‘p.

Hech narsa qulamaydi. Ichki kortejlar boshidan oxirigacha saqlanib qoladi, shuning uchun uzoq tomon hali ham uchta oqimni ajrata oladi.

O‘zgarmas qoladigan port

O‘zgarmas qoladigan narsa — tashqi kortej: sizning manzilingiz, mijoz bog‘lagan mahalliy port, sherik manzili va sozlangan xizmat porti. Aynan shu kortejni yo‘ldagi xavfsizlik devori yoki NAT ruxsat berishi kerak, va aynan shuni yuqori bo‘g‘indagi yozib olish ko‘rsatadi. U qayta ulangandan yoki tarmoq almashgandan keyin o‘zgaradigan kortej ham, chunki mijoz boshqa mahalliy portni bog‘lashi mumkin. Bitta tunnel abadiy bitta qat’iy manba portini anglatmaydi.

Ichki portlar oxirgi nuqtalar uchun muhim. HTTPS oqimi tashqi transport operator sozlagan portda o‘tirsa ham tunnel ichida manzil portini 443 saqlaydi. Ilovaning oxirgi nuqtalari tashqi port haqida hech qachon bilmaydi.

Uzoq uchida dekapsulyatsiya nimani o‘zgartiradi

Sherikda tashqi qatlam olib tashlanadi va ichki paket qoladi. U yerdan yo‘naltirish va kirish siyosati ichki manzil va protokolga tatbiq etiladi. Veb server hali ham HTTPS ulanishini oladi, SSH daemoni hali ham SSH oladi, hal qiluvchi esa hali ham so‘rov oladi.

Shuning uchun tashqi transportga ruxsat beruvchi qoida ichki xizmatga ruxsat berish bilan bir xil emas. Birinchisi yo‘lni tasvirlaydi; ikkinchisi vakolatni tasvirlaydi.

Tashqi TCP bitta oqim demakdir, bitta ulanish emas

Tashqi transport UDP bo‘lsa, har bir ichki oqimning taqdiri mustaqil: yo‘qolgan datagram o‘zining qayta yuborilishigacha bitta uzatishga ta’sir qiladi. Tashqi transport TCP bo‘lsa, barcha ichki oqimlar bitta ishonchli bayt oqimini bo‘lishadi.

Aynan shu umumiy oqim odamlar e’tibordan chetda qoldiradigan qismdir. Tiklanish hamma narsa uchun bir marta sodir bo‘ladi, shuning uchun bitta yo‘qolgan segment ichida multiplekslangan har bir ilovaning trafigini kechiktiradi. Oxirgi nuqtalarda hali ham ko‘p ulanish, simda esa bitta ulanish bor, va navbat boshining ta’siri aynan simda yashaydi. Tinglayotgan portlar soni bu haqda hech narsa demaydi, shuning uchun portlarni sanash tunnel unumdorligi haqida fikr yuritishning yomon usulidir.

O‘z sozlamangizni aniq tasvirlab bering

Mashina hamma narsani bitta portdan yuboradi deyish o‘rniga, tanlangan ichki trafikni va uni ko‘tarib yuruvchi aniq tashqi transportni nomlang. Mahalliy xizmatlar, ikkinchi tunnel va boshqa manzil oilasi bu suhbatga hech qachon kirmaydigan oqimlarni yaratadi. Yuqori bo‘g‘indagi yozib olish tashqi kortejni ko‘rsatadi; tunnel ichidagi yozib olish ichkilarini ko‘rsatadi.

Ikkalasini ham oling va vaqt belgilarini yonma-yon qo‘ying. Qaysi ilova qaysi ichki oqimni yaratganini isbotlash kerak bo‘lsa, xostdagi soket jadvali yaxshiroq asbob, chunki u portlarni to‘g‘ridan-to‘g‘ri jarayonlarga bog‘laydi. Keyin kuzatgan tashqi kortejingizni va kuzatgan lahzangizni yozib qo‘ying, chunki qayta ulangandan keyingi navbatdagi yozib olish qonuniy ravishda boshqa raqamlarni ko‘rsatishi mumkin.