พอร์ตที่ถูกบล็อก

พอร์ตใดที่ถูกบล็อก

พอร์ตเครือข่ายเป็นหมายเลขแยกบริการที่ที่อยู่เครือข่ายเดียว เซิร์ฟเวอร์เดียวรับเว็บที่พอร์ตหนึ่งและแอปอื่นอีกพอร์ตได้ แอปต้องรู้ที่อยู่เซิร์ฟเวอร์ พอร์ตที่เหมาะ และโปรโตคอลขนส่งที่ใช้ คือ TCP หรือ UDP

การเชื่อมต่อพร็อกซีมีสองปลายทางแยกกัน ก่อนอื่น แอปเชื่อมกับพร็อกซีที่ที่อยู่และพอร์ตที่ผู้ให้บริการระบุ แล้วขอให้พร็อกซีเข้าถึงเซิร์ฟเวอร์เป้าหมายที่ที่อยู่และพอร์ตของเซิร์ฟเวอร์นั้น พอร์ตในการตั้งค่าพร็อกซีเป็นขั้นแรก ส่วนข้อจำกัดพอร์ตปลายทางใช้กับขั้นที่สอง

เช่น โปรแกรมเชื่อมกับ proxy.example:1080 แล้วขอ portal.example:443 ได้ จุดเข้าพร็อกซีเดิมยังรับคำขอ mail.example:587 ได้ หากอนุญาตพอร์ตปลายทางแรกและบล็อกพอร์ตหลัง การเชื่อมเว็บสำเร็จแต่เมลถูกปฏิเสธได้

ข้อจำกัดเหล่านี้เกี่ยวกับการเชื่อมต่อขาออกจากพร็อกซีไปบริการภายนอก การอนุญาตไม่ได้ให้พอร์ตขาเข้าบนแอปในคอมพิวเตอร์ของคุณที่ผู้ใช้อินเทอร์เน็ตอื่นเข้าถึงได้ การส่งต่อพอร์ตขาเข้าเป็นความสามารถแยกกัน

เหตุใดผู้ให้บริการจำกัดพอร์ต

เหตุผลชัดที่สุดคือกันการใช้บริการบางชนิดในทางละเมิด การเข้าเซิร์ฟเวอร์เมลโดยตรงใช้ส่งแคมเปญสแปมได้ ข้อร้องเรียนและรายการบล็อกผู้ส่งกระทบ IP ที่รับส่งทราฟฟิก ผลจึงอาจกว้างกว่าลูกค้าผู้ส่ง ผู้ให้บริการลดความเสี่ยงโดยปฏิเสธพอร์ตส่งอีเมลก่อนมีข้อความส่งออก

เหตุผลคล้ายกันอาจใช้กับการดูแลระยะไกล การแชร์ไฟล์ หรือบริการฐานข้อมูล ผู้ให้บริการอาจจำกัดพอร์ตที่เกี่ยวข้องเพื่อลดการพยายามลงชื่อเข้าใช้โดยไม่มีสิทธิ์และการโจมตีอื่น ข้อจำกัดใช้กับการเชื่อมต่อเอง ผู้ดูแลที่มีสิทธิ์จริงอาจเข้าเซิร์ฟเวอร์ของตนผ่านสินค้านั้นไม่ได้ด้วย

กฎไม่ได้เริ่มจากผู้ขายพร็อกซีเสมอ บริษัทโฮสติ้งหรือผู้ดำเนินเครือข่ายอาจกรองขาออกจากโครงสร้างที่พร็อกซีใช้ การอนุญาตในซอฟต์แวร์พร็อกซีเองข้ามข้อจำกัดที่จุดถัดไปในเส้นทางไม่ได้

การกรองพอร์ตเป็นมาตรการกว้าง หยุดทราฟฟิกไม่พึงประสงค์ได้โดยไม่อ่านทุกข้อความหรือตัดสินแต่ละงานว่าชอบธรรมหรือไม่ แต่จำกัดแอปที่มีประโยชน์ซึ่งต้องใช้พอร์ตเดียวกันด้วย ข้อแลกเปลี่ยนนี้อธิบายว่าทำไมยังปิดพอร์ตแม้ลูกค้าจ่ายเงินและมีงานสมเหตุผล

กฎเข้าถึงพอร์ตทำงานอย่างไร

มีสองแนวทางพื้นฐาน รายการบล็อกระบุพอร์ตที่ใช้ไม่ได้ การเชื่อมต่ออื่นพิจารณาตามกฎที่เหลือ ส่วนรายการอนุญาตทำตรงข้าม คือให้ใช้ชุดพอร์ตที่ระบุและปฏิเสธส่วนที่เหลือ ในแบบหลัง แอปเว็บปกติที่ใช้พอร์ตนอกมาตรฐานอาจใช้ไม่ได้เพียงเพราะพอร์ตอยู่นอกชุดอนุญาต

กฎอาจครอบคลุมพอร์ตที่ทุกที่อยู่ภายนอก หรือผูกพอร์ตกับปลายทางหนึ่ง ผู้ให้บริการใช้กฎต่างกันตามสินค้าหรือการใช้งานที่อนุมัติได้ การเข้าผ่านเครือข่ายหนึ่งจึงไม่ได้ยืนยันสิทธิ์ของสินค้าอื่นที่บริษัทเดียวขาย

พร็อกซีไม่ต้องถอดรหัสทราฟฟิกแอปเพื่อบังคับกฎพอร์ตปลายทาง ในคำขอ HTTP CONNECT ไคลเอนต์ให้โฮสต์และพอร์ตเป้าหมาย SOCKS5 ก็ส่งปลายทางในคำขอเชื่อมต่อ พร็อกซีปฏิเสธก่อนเริ่มเซสชันที่ป้องกันกับเซิร์ฟเวอร์เป้าหมายได้

TCP และ UDP ที่ใช้หมายเลขพอร์ตเดียวกันอนุญาตหรือบล็อกแยกได้ เชื่อม TCP 443 สำเร็จไม่ได้พิสูจน์ว่า UDP 443 ใช้ได้ อีกความเป็นไปได้คือสินค้าพร็อกซีที่เลือกไม่ส่ง UDP เลย กรณีนั้นข้อจำกัดเป็นเรื่องโปรโตคอลขนส่ง ไม่ใช่พอร์ต UDP ใดโดยเฉพาะ

หมายเลขพอร์ตเพียงอย่างเดียวก็ไม่พิสูจน์ว่าแอปทำอะไร บริการทำงานบนพอร์ตนอกมาตรฐานได้ และหมายเลขที่อนุญาตไม่ได้ทำให้ทุกการใช้งานยอมรับได้ ผู้ให้บริการรวมการกรองพอร์ต ข้อจำกัดปลายทาง และกฎกิจกรรมเข้าด้วยกันได้

ผลต่อแอปพลิเคชัน

แอปใช้การเชื่อมต่อสำหรับฟังก์ชันเฉพาะ การทดสอบเบราว์เซอร์ตรวจการเชื่อมเว็บที่มันทำ ไม่ได้ทดสอบทุกการเชื่อมต่อที่โปรแกรมอื่นอาจต้องใช้ ตัวอย่างต่อไปแสดงผลของการจำกัดพอร์ตต่อบริการที่ส่วนอื่นทำงานได้

อีเมลแสดงความต่างนี้ชัด แอปเมลส่งข้อความขาออกไปเซิร์ฟเวอร์เมล โดยทั่วไปที่ 587 หรือ 465 พอร์ต 465 เริ่มด้วย TLS ส่วน 587 มักใช้ STARTTLS เริ่มเข้ารหัส การจำกัดพอร์ตหยุดทั้งสองการเชื่อมต่อได้ก่อนส่งข้อความ การเข้ารหัสปกป้องการแลกเปลี่ยน แต่ไม่ลบกฎเข้าถึงของผู้ให้บริการ

ในเว็บเมล เบราว์เซอร์ติดต่อเว็บไซต์ผ่าน HTTPS แล้วบริการเมลจัดการส่ง เบราว์เซอร์ไม่ได้ขอให้พร็อกซีสร้างการเชื่อมต่อ SMTP เดียวกันนั้น กล่องเมลเว็บจึงอาจยังใช้ได้ขณะ SMTP ถูกบล็อก การรับเมลในแอปแยกเป็นอีกการเชื่อมต่อ ต้องพิจารณา IMAP หรือ POP แยกจากการส่ง

FTP แสดงว่าทดสอบลงชื่อเข้าใช้อย่างเดียวอาจไม่พบปัญหา ในโหมด passive ไคลเอนต์ส่งคำสั่งผ่านการเชื่อมต่อหนึ่งก่อน แล้วเชื่อมพอร์ตที่เซิร์ฟเวอร์ระบุเพื่อส่งข้อมูล หากการเชื่อมต่อหลังถูกจำกัด การตรวจสอบสิทธิ์อาจสำเร็จแต่รายการไฟล์หรือดาวน์โหลดล้มเหลว แอปที่แยกการเชื่อมต่อสำหรับลงชื่อเข้าใช้ เสียง หรือแลกไฟล์อาจล้มเหลวบางส่วนคล้ายกัน

เหตุใดเปลี่ยนการตั้งค่าพร็อกซีอาจไม่ช่วย

การเปลี่ยนพอร์ตเข้าในการตั้งค่าพร็อกซีเปลี่ยนจุดที่แอปติดต่อพร็อกซี ไม่ได้เปลี่ยนพอร์ตปลายทางที่ขอสำหรับบริการภายนอก หากมีจุดเข้าที่ 443 การเชื่อมเข้าจุดนั้นก็ยังทำให้คำขอพอร์ต 587 ของเซิร์ฟเวอร์เมลอยู่ภายใต้ข้อจำกัดพอร์ตเมล

การเปลี่ยนจากพร็อกซี HTTP เป็น SOCKS5 แก้ปัญหารองรับกันได้เมื่อแอปต้องการความสามารถที่วิธีเชื่อมใหม่รองรับ แต่ตัวมันเองไม่ยกเลิกกฎผู้ให้บริการ SOCKS5 กำหนดวิธีขอเชื่อม TCP และส่งต่อ UDP ส่วนบริการตัดสินว่าจะยอมรับคำขอใด

การเปลี่ยน IP ขาออกยังคงข้อจำกัดที่ใช้ทั้งสินค้า เส้นทางอื่นอาจทำงานต่างเมื่อเครือข่ายภายนอกแห่งหนึ่งทำให้ล้มเหลว แต่การหมุนเวียนไม่ใช่วิธีลบกฎทั้งสินค้า IP เพิ่มหรือโควตาทราฟฟิกใหญ่ขึ้นไม่เปลี่ยนสิทธิ์นั้นเช่นกัน

ระบุข้อจำกัดพอร์ตอย่างไร

หลักฐานที่มีประโยชน์ที่สุดคือคำตอบผู้ให้บริการที่ระบุว่าพอร์ตปลายทางที่ขอไม่อนุญาต ข้อความปฏิเสธทั่วไปเจาะจงน้อยกว่า เช่น คำตอบ SOCKS5 ที่ปฏิเสธตามชุดกฎระบุว่าเป็นการปฏิเสธนโยบาย แต่ไม่ได้บอกว่ากฎใดเป็นสาเหตุ การหมดเวลาหรือรีเซ็ตเพียงอย่างเดียวเป็นหลักฐานอ่อนกว่าอีก

เซิร์ฟเวอร์เป้าหมายอาจไม่มีบริการฟังพอร์ตนั้น อาจรับเฉพาะบางต้นทาง หรือใช้ไม่ได้ชั่วคราว แอปอาจใช้โปรโตคอลผิด หรือส่งบางทราฟฟิกนอกพร็อกซีที่ตั้งไว้ คำขอเว็บสำเร็จหนึ่งครั้งแยกสาเหตุเหล่านี้จากข้อจำกัดที่กระทบการเชื่อมต่ออื่นไม่ได้

คำขอช่วยเหลือที่มีประโยชน์ควรระบุสินค้าพร็อกซี โฮสต์หรือ IP เป้าหมาย พอร์ต TCP หรือ UDP แอป และข้อความผิดพลาดแน่นอนพร้อมเวลา เพื่อให้ฝ่ายช่วยเหลือตรวจการเชื่อมต่อที่เกี่ยวข้อง แทนยืนยันแค่ว่าพร็อกซีออนไลน์ สำหรับแผนซื้อ ข้อมูลเดียวกันช่วยทราบว่าสินค้ารองรับงานหรือไม่

หากผู้ให้บริการมีข้อยกเว้น การอนุมัติควรระบุปลายทางและการใช้ที่ต้องการ บางข้อจำกัดถาวรหรือมาจากโครงสร้างที่ผู้ให้บริการไม่ควบคุม คำถามที่มีประโยชน์คือรองรับการเชื่อมต่อเฉพาะนั้นตามกฎได้หรือไม่ คำขอ “เปิดทุกพอร์ต” ยังทำให้ทั้งความต้องการและขอบเขตไม่ชัด