Beth mae rhestr ymgeiswyr WebRTC yn ei ddatgelu am eich VPN
Mae ymgeisydd gwesteiwr, adlewyrchol gweinydd neu gyfnewidfa yn dweud o ble y daeth cyfeiriad. Dim ond y pâr ICE a ddewiswyd sy’n dweud pa lwybr y defnyddiodd y cyfryngau.
Pan fydd tudalen brawf WebRTC yn argraffu 172.20.4.15, mae wedi dysgu bod rhyngwyneb lleol yn bodoli ar y rhwydwaith hwnnw. Mae hynny’n ddatguddiad go iawn, ac nid yw’n golygu’r un peth â “aeth y cyfryngau allan drwy allanfa’r VPN”. Mae darganfod ymgeiswyr a llwybro pecynnau yn fecanweithiau ar wahân, ac mae’r rhan fwyaf o adroddiadau gollyngiadau yn eu huno yn un farn. Pa un o’r ddau rydych chi’n edrych arno sy’n pennu’r atgyweiriad.
Mae casglu yn digwydd cyn i unrhyw beth gael ei anfon
Mae’r porwr yn rhestru’r rhyngwynebau lleol, yn anfon cais rhwymo i weinydd STUN ac yn gofyn i weinydd TURN am ddyrannu, yna’n ysgrifennu’r canlyniadau yn y disgrifiad sesiwn fel llinellau ymgeiswyr. Mae hynny i gyd yn cwblhau heb alwad, heb gyfryngau a heb gymar. Felly mae rhestr o ymgeiswyr yn gofnod o ddarganfod, nid o drafnidiaeth.
Gall porwyr modern ddisodli cyfeiriad llythrennol ymgeisydd gwesteiwr ag enw mDNS .local, fel na all y dudalen ddarllen y IP preifat. Mae’r rhwydwaith lleol yn dal i weld yr ymholiadau multicast sy’n datrys yr enw hwnnw, felly mae’r cyfeiriad wedi’i guddio rhag y cymhwysiad yn hytrach na’i dynnu oddi ar y weiren.
Mae trefn yn bwysig hefyd: mae llwythi tudalen newydd yn casglu set newydd, gan ddefnyddio dyrannu TURN gwahanol ac o bosibl mapiad adlewyrchol gwahanol. Nid yw dau rediad sy’n anghytuno o reidrwydd yn ddau gyfluniad gwahanol.
Tri math o ymgeisydd, tair math o dystiolaeth
Mae pob llinell yn deillio o arsylwad gwahanol. Mae pob math yn ateb cwestiwn gwahanol, ac mae’r tabl yn eu gwahanu yn ôl yr hyn y gallant a’r hyn na allant ei sefydlu.
| Candidate | Derived from | What it establishes | What it cannot establish |
|---|---|---|---|
| Host | An interface on the device | A local address exists in that network | That the peer can reach it |
| Server-reflexive | A STUN binding response | How a NAT mapped this source | Which exit the media will use |
| Peer-reflexive | A connectivity check that arrived | An address seen by the far side | That it was ever advertised |
| Relay | A TURN allocation | The relay server accepted the session | That the relay carries the call |
Mae ymgeisydd cyfnewidfa yn cael ei gamgymryd yn rheolaidd am gyfeiriad rhyngrwyd y defnyddiwr. Mae’n perthyn i weinydd TURN, ac mae ei bresenoldeb yn dangos bod cyfnewidfa ar gael, nid bod y porwr wedi’i dewis. Mae’r un dryswch yn rhedeg y ffordd arall gydag ymgeiswyr gwesteiwr, lle mae enw mDNS yn cuddio’r cyfeiriad rhag y dudalen tra bod y rhwydwaith yn dal i gludo’r ymholiadau. Darllenwch y math cyn i chi ddarllen y gwerth.
Y pâr a ddewiswyd sy’n ateb y cwestiwn llwybro
Mae ICE yn paru pob ymgeisydd lleol â phob un o bell, yn rhedeg gwiriadau cysylltedd ar bob pâr, ac yn enwebu enillydd. Mae’r pâr a enwebwyd hwnnw, i’w weld yn nogfennau diagnostig y porwr ei hun, yn cludo’r cyfryngau. Mae popeth arall ar y rhestr yn bosibilrwydd a gollodd.
Mae’r enillydd yn dweud wrthych beth yw siâp y llwybr. Mae cyfnewidfa-i-gyfnewidfa yn mynd drwy weinydd TURN, mae pâr gwesteiwr yn aros ar y rhwydwaith lleol, ac mae pâr adlewyrchol gweinydd yn mynd yn syth drwy NAT. Dyma’r ffaith sydd ei hangen ar wiriad VPN, ac mae’n ffaith wahanol i’r rhestr cyfeiriadau. Gall dau alwad â rhestrau ymgeiswyr union yr un fath gymryd parau gwahanol.
Cafodd ymgeiswyr nas dewiswyd eu casglu o hyd, ac mae casglu yn draffig rhwydwaith sy’n gadael y peiriant. Nid yw galwad a ddefnyddiodd y gyfnewidfa yn y pen draw yn golygu na ddatgelwyd dim wrth adeiladu’r rhestr.
Mae rheolyddion yn cyfateb i nodau, nid i sgôr gollyngiad
Mae manyleb trin IP WebRTC yn disgrifio sawl polisi: defnyddio dim ond y rhyngwyneb sy’n cario’r llwybr diofyn, defnyddio pob rhyngwyneb, ac analluogi UDP heb brocsi fel bod yn rhaid i draffig fynd drwy gyfnewidfa neu brocsi. Mae pob un yn cyfnewid cysylltedd ac oedi am wahanol fath o amlygiad. Pa un y mae porwr yn ei weithredu, a pha enw, yn amrywio yn ôl platfform a rhyddhau.
Dewiswch y polisi o’r nod. Mae cuddio cyfeiriadau lleol rhag tudalen yn un nod; atal traffig uniongyrchol rhwng cymheiriaid yw un arall; cadw pob pecyn y tu mewn i’r twnnel yw’r trydydd. Mae’r cyntaf yn ymwneud yn bennaf â’r hyn y mae’r cymhwysiad yn ei ddysgu, yr ail â pha lwybr sy’n cael ei ganiatáu, a rhaid gorfodi’r trydydd ar ffin y platfform neu’r VPN hefyd.
Pa reolydd bynnag a ddewiswch, gwiriwch y ddau hanner: rhedegwch y prawf casglu a chofnodwch fathau ymgeiswyr, yna archwiliwch y pâr a ddewiswyd yn ystod sesiwn go iawn. Mae rhestr gyfeiriadau lân â llwybr cyfryngau uniongyrchol yn dal i fod yn llwybr na fwriadwyd.