VPN marşrutlaşdırıcıda işləyəndə STUN cavabı nəyi açır
Marşrutlaşdırıcının tunel ünvanı brauzerin yerli ünvanı deyil. Reflektorun nə bildirdiyini oxumazdan əvvəl hər sorğunun necə yönləndirildiyini və çevrildiyini izləyin.
Tunel marşrutlaşdırıcıda yaşayanda brauzeri işlədən maşının heç bir tunel interfeysi olmur. Həmin maşından yerli ünvanlarını soruşun və xüsusi LAN ünvanı ilə loopback alarsınız, VPN ünvanına bənzəyən heç nə yoxdur. Buna baxmayaraq, qarşı tərəfdəki STUN serveri yol haqqında hələ də mənalı bir şey bildirə bilər və bildirdiyi tamamilə həmin sorğunun necə yönləndirildiyindən və çevrildiyindən asılıdır.
Yavaşlamağa dəyən hissə budur. “Brauzer VPN ünvanına sahib deyil” ifadəsi interfeyslər barədə suala cavab verir, əks olunan ünvan isə çevrilmədən keçən yol barədə cavabdır. İkisini qarışdırmaq, ifşa barədə sübutun dəstəkləmədiyi qəti nəticələr yaradır.
İki cihaz, iki interfeys dəsti
Marşrutlaşdırıcıya əsaslanan qurmada tunel marşrutlaşdırıcıda bitir və LAN müştərisi adi trafiki standart şlüzünə göndərir. Müştərinin interfeys siyahısı qısa qalır: bir xüsusi ünvan, bəlkə başqa şəbəkə üçün ikinci biri və loopback. Risk bunlardan birinin tunel ünvanı olması deyil; risk sorğunun seçmədiyiniz yoldan çıxmasıdır.
Müştəridən müəyyən hədəfin hansı yolla gedəcəyini soruşun, hansı interfeyslərin olduğunu soruşmaq əvəzinə. Cavab bir şlüz və nüvənin istifadə edəcəyi mənbə ünvanını adlandırır ki, bu da hər hansı ünvan siyahısından daha məlumatlıdır.
ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ipsSənədləşdirmə aralıqları yaxşı sınaq hədəfləridir, çünki heç vaxt real xidmətə çevrilmirlər. Müştərinin dediklərini marşrutlaşdırıcının dedikləri ilə müqayisə edin və hər hansı uyğunsuzluğu siyasət marşrutlaşdırmasının, split-tunel qaydasının və ya ikinci standart marşrutun nəzərə almadığınız bir şey etdiyinə dəlil sayın.
Binding cavabının deməyə icazə verdiyi şeylər
RFC 8489 Binding sorğusunu və cavabını müəyyən edir; server həmin sorğu üçün müşahidə etdiyi mənbə nəqliyyat ünvanını bildirir. Bu, bir anda bir beşlik barədə ifadədir, müştərinin interfeyslərinin siyahısı deyil. Buna görə maraqlı hər şey müştəri ilə müşahidə nöqtəsi arasında baş verir.
Bu boşluğu marşrutlaşdırma və çevrilmə doldurur. Xarici trafiki mənbə NAT edən marşrutlaşdırıcı müştərinin xüsusi mənbəyini çıxış interfeysindəki öz ünvanı ilə əvəz edir. Həmin interfeys tuneldirsə, reflektor tunel ünvanını görür. Paket tuneldən kənarlaşdırılıbsa, reflektor WAN çevrilməsinin yaratdığını görür. Eyni müştəri, eyni reflektor, fərqli cavab.
Oxşar görünən və olmayan üç hal
Faydalı fərq ictimai ilə xüsusi arasında deyil, paketlə hansı tətbiq nöqtəsinin məşğul olduğundadır. Halları marşrutlaşdırıcının öz cədvəlləri açıq halda işləyin, çünki bir brauzer yazdığınızı unutduğunuz qaydadan asılı olaraq üçünü də yarada bilər.
| Where the request leaves | What rewrites the source | What the reflector reports |
|---|---|---|
| Tunnel interface on the router | Router NAT towards the tunnel address | The tunnel address as seen on that path |
| WAN interface, excluded by policy | Ordinary WAN translation | The public WAN address |
| Private reflector reached through the tunnel route | Router NAT towards the tunnel address | An internal identifier valid only inside that path |
Yalnız ikinci hal bəzi trafikin heç vaxt birbaşa çıxmaması tələbini pozur, yalnız birinci və üçüncü hal isə tunel tərəfli identifikatoru açır. Üç sətrin heç biri müəyyən provayderin davranışı barədə iddia deyil: xüsusi reflektora ümumiyyətlə çatmaq mümkündürmü, marşrutlaşdırmadan, peer icazəli IP-lərdən və hər iki tərəfdəki firewall siyasətindən asılıdır.
Eyni provayderdə hesab sahibi olmaq bunların heç birini təsdiqləmir. Onu da xatırlamaq lazımdır ki, yönləndirilmiş sorğu heç nə çevirmirsə müştərinin LAN mənbəyini saxlaya bilər, ona görə mənbə sahəsi topologiya sxemindən güman edilmək əvəzinə izlənməlidir.
Toplamaq seçmək deyil
WebRTC sınamaq üçün namizəd ünvanlar toplayır və diaqnostik siyahıda görünən namizəd media heç vaxt daşımaya bilər. Siyahını “bunu peer öyrəndi” kimi oxumaq sübutu şişirdir. Seçilmiş cüt sessiyanı həqiqətən daşıyan cütdür və başqa sahədə yerləşir.
HTTPS çıxış yoxlayıcısı başqa bir suala cavab verir: veb serverin həmin sorğu üçün gördüyü mənbə ünvanı. Bu faydalı çarpaz yoxlamadır, çünki fərqli protokol və çox vaxt UDP reflektorundan fərqli hədəf istifadə edir, ikisi arasındakı uyğunsuzluq isə adətən xəta deyil, marşrutlaşdırma qaydasına işarə edir.
Siyasəti qərar verin, sonra cavabı oxuyun
Sınaqdan əvvəl niyyəti yazın: hansı trafik tuneldən istifadə etməlidir, hansı birbaşa çıxa bilər, hansı ünvan ailələri əhatə olunur və tunel söndükdə nə baş verməlidir. Bu əsas olmadan hər müşahidə ikimənalıdır, çünki sızmanı qəsdən icazə verdiyiniz yoldan ayıra bilməzsiniz.
Sonra növbə ilə bir sual verin. Bu hədəf hansı yolla gedir. Bu reflektor hansı ünvanı bildirir. Sessiya hansı namizəd cütünü seçdi. Cavabları siyasətin yanında saxlayın və tarix qoyun, çünki proqram təminatı yeniləməsi standart davranışı keçən ilin nəticəsini səssizcə etibarsız edən şəkildə dəyişə bilər.
Marşrutlaşdırıcı hələ də güclü tətbiq nöqtəsidir, çünki müştəri özünü yenidən qurmadan keçə bilmədiyi trafiki görür. Bu, hər tətbiq protokolundakı hər sahənin heç nə açmadığına dair vəd deyil və icazə verməyi seçdiyiniz yolları yazmağın əvəzi deyil.