3 replies to this topic

[Mordimer]

Witam wszystkich

 

Mam pytanie dotyczące sieci VPN. Otóż nurtuje mnie pytanie, w jaki sposób sprawdzane jest czy w VPN korzystając z UDP, pakiet dotarł tak gdzie powinien.

Czy jest to kontrolowane na poziomie programu bo jak wiadomo UDP nie daje takich możliwości, nie posiada mechanizmu retransmisji czy nawiązywania i utrzymywania połączenia. 

 

Bardzo proszę o wyczerpująca odpowiedź na to pytanie, bo szukam w necie od 2 dni, szperam po książce i niestety nie znajduję odpowiedzi by potwierdzić lub zaprzeczyć mojej teorii

 

 

 

[~janusz]

Sprecyzuj jeszcze, czy chodzi o połączenie VPN które opiera tunel na UDP ?

 

W zasadzie tak samo jak w każdym innym programie opartym na stacku UDP.
 

Generalnie w tym przypadku w gestii autora leży sprawdzenie sumy kontrolnej całości wiadomości (która przychodzi w 1 lub więcej datagramach UDP, wiadomość zawiera zazwyczaj podpis + zaszyfrowaną zawartość które można odszyfrować ustalonymi kluczami sesji tunelu), jakikolwiek błąd w typowych programach opartych na stacku UDP (zagubienie pakietu, odwrócona kolejność)  powoduje konieczność retransmisji całej wiadomości. Nie mówię że koniecznie w programach od obsługi VPN, tam może być to korygowane w inny sposób.

 

Ewentualnie można zbudować niezawodność na stacku UDP, nikt tego nie zabroni (aczkolwiek takie implementacje mogą być wolniejsze niż użycie samego TCP)...

[Mordimer]

Ogólnie rozważam działanie i dostępne protokoły VPN w Windows Server 2008 w górę.

Chyba tylko VPN oparty na protokole IKEv2 wykorzystuje UDP port 500. Reszta jest wysyłana np. przez HTTPS...

[~janusz]

Chyba tylko VPN oparty na protokole IKEv2 wykorzystuje UDP port 500. Reszta jest wysyłana np. przez HTTPS...

VPN nie jest przesyłany przez HTTPS, VPN posiada osobne implementacje swoich protokołów. Wspólne z HTTPS ma korzystanie z TLS/SSL (co jest ogólnym standardem).

Każdy VPN oparty na IPsec (standard zaimplementowany np. w Win 2k8) korzysta z portu UDP 500 i ewentualnie UDP 4500 na NAT-T. IKE to tylko mechanizm wymiany klucza gwoli ścisłości.

 

IPSec w standardzie na pewno ma zdefiniowane co robić w przypadku zgubienia pakietu przez kanał UDP. Są dokumenty RFC opisujące protokół.