autoshot schrieb:
Welche Vor- und Nachteile ergeben sich aus dieser Portwahl?
Dazu muss ich etwas weiter ausholen.
Der Standardport von OpenVPN ist 1194
UDP.
Du hast jetzt Port 443 gewählt - auch UDP?
https - das war vermutlich deine Intention - nutzt Port 443, aber
TCP.
Grundsätzlich sollte man ein VPN tunlichst immer über
UDP betreiben. UDP ist gewissermaßen wie ein banaler Brief via Post - man hat keine Ahnung ob er angekommen ist oder nicht, wenn der Empfänger nicht selbst auf die Idee kommt, irgendwie darauf zu antworten. TCP wiederum ist wie ein Einschreiben mit Rückschein. Das heißt, dass der Postbote quasi ständig hin- und herläuft und lauter Bestätigungen vorbeibringt, damit man immer weiß ob das gesendete Einschreiben auch wirklich angekommen ist. Da ein VPN den Datenverkehr von Anwendungen kapselt, würden nun lauter Einschreiben mit Rückschein
in Einschreiben mit Rückschein verschickt werden und der Postbote müsste noch öfter hin und herlaufen. Steckt man das Einschreiben mit Rückschein jedoch in einen normalen Briefumschlag, bringt der Postbote einfach nur den Rückschein als Bestätigung zurück und nicht zusätzlich noch die Bestätigung der Bestätigung des Rückscheins.
Klingt kompliziert, ist es eigentlich auch. TCP-Verbindungen über einen TCP-VPN-Tunnel können im worst case extrem viel Overhead produzieren - insbesondere bei potentiell unzuverlässigen Verbindungen mit vielen Paketverlusten - und so die Übertragungsrate empfindlich nach unten drücken.
Deswegen sollte man ein VPN mit UDP betreiben, da so überflüssige Bestätigungen gar nicht erst zustande kommen.
Dann kann man ja 443
UDP für OpenVPN verwenden? Ja, prinzipiell schon. Der Sinn hinter dem Port 443 für OpenVPN liegt jedoch darin, dass sich der Traffic des VPNs als https-Traffic tarnen soll und so ungehindert durch eine restriktive Firewall zum Ziel gelangen kann. In der Regel klappt das auch, aber
eigentlich ist https ja 443 TCP und somit kann es sein, dass eben auch nur das von der Firewall (zB im Hotel) zugelassen ist, aber eben nicht 443 UDP.
Mein Tip wäre daher folgender:
Grundsätzlich würde ich Dienste auf dem NAS bzw. dem Server immer auf dem Standardport belassen. Das wäre also 1194 UDP. Etwaige Umsetzungen auf einen Port, der mit hoher Wahrscheinlichkeit nicht durch eine Firewall im Hotel, etc. geblockt wird, würde ich nun in der Portweiterleitung im Router machen. Man kann zB problemlos Port 53 UDP (=DNS) in der Portweiterleitung auf 1194 UDP am NAS weiterleiten.
Gleichzeitig kann man aber parallel dazu auch 443 UDP auf 1194 UDP weiterleiten. So hat man im worst case also 2 Eisen im Feuer.
Wenn's aber ganz doof läuft, ist man in einigen Netzwerken tatsächlich komplett auf TCP angewiesen (zB weil ausgehender 53 UDP Traffic geblockt wird). Dann müsste man das VPN eben doch auf TCP laufen lassen, weil eine Umleitung von zB 443 TCP auf 1194 UDP technisch
nicht möglich ist.
Ich hoffe jetzt sind endgültig alle Klarheiten beseitigt?
Vielen Dank Raijin!
