Beth mae ateb STUN yn ei ddatgelu pan fydd y VPN yn rhedeg ar y llwybrydd

Pan fydd y twnnel yn byw ar y llwybrydd, nid oes gan y peiriant sy’n rhedeg y porwr unrhyw ryngwyneb twnnel o gwbl. Gofynnwch i’r peiriant hwnnw am ei gyfeiriadau lleol ac fe gewch gyfeiriad preifat LAN a dolen gefn, dim byd sy’n debyg i gyfeiriad VPN. Eto i gyd, gall gweinydd STUN ar yr ochr arall adrodd rhywbeth ystyrlon am y llwybr, ac mae’r hyn y mae’n ei adrodd yn dibynnu’n gyfan gwbl ar sut y cafodd y cais penodol hwnnw ei lwybro a’i drawsnewid.

Dyma’r rhan sy’n werth arafu arni. Mae “nid y porwr sy’n berchen ar gyfeiriad y VPN” yn ateb cwestiwn am ryngwynebau, tra bo cyfeiriad a adlewyrchir yn ateb am lwybr trwy drawsnewid. Mae cymysgu’r ddau yn cynhyrchu casgliadau hyderus am ddatgeliad nad yw’r dystiolaeth yn eu cynnal.

Dwy ddyfais, dwy set o ryngwynebau

Mewn trefniad sy’n seiliedig ar lwybrydd, mae’r twnnel yn gorffen ar y llwybrydd ac mae cleient y LAN yn anfon traffig cyffredin i’w borth rhagnodedig. Mae rhestr ryngwynebau’r cleient yn aros yn fyr: un cyfeiriad preifat, efallai ail ar gyfer rhwydwaith arall, a dolen gefn. Nid y risg yw bod un o’r rhain yn digwydd bod yn gyfeiriad y twnnel; y risg yw bod y cais yn gadael trwy lwybr na wnaethoch ei ddewis.

Gofynnwch i’r cleient pa lwybr y byddai cyrchfan benodol yn ei gymryd yn lle gofyn pa ryngwynebau sy’n bodoli. Mae’r ateb yn enwi porth a’r cyfeiriad ffynhonnell y byddai’r cnewyllyn yn ei ddefnyddio, sydd eisoes yn fwy addysgiadol nag unrhyw restr o gyfeiriadau.

ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ips

Mae ystodau dogfennaeth yn gyrchfannau prawf da oherwydd nad ydynt byth yn datrys i wasanaeth go iawn. Cymharwch yr hyn mae’r cleient yn ei ddweud â’r hyn mae’r llwybrydd yn ei ddweud, a thriniwch unrhyw anghytundeb fel tystiolaeth bod llwybro polisi, rheol twnnel hollt neu ail lwybr rhagnodedig yn gwneud rhywbeth nad ydych wedi cyfrif amdano.

Beth y caiff ateb Binding ei ddweud

Mae RFC 8489 yn diffinio’r cais a’r ateb Binding, lle mae’r gweinydd yn adrodd y cyfeiriad cludo ffynhonnell a arsylwyd ganddo ar gyfer y cais hwnnw. Datganiad am un pumawd ar un foment yw hwn, nid cyfrifiad o ryngwynebau’r cleient. Felly mae popeth diddorol yn digwydd rhwng y cleient a’r pwynt arsylwi.

Mae’r bwlch hwnnw’n cael ei lenwi gan lwybro a thrawsnewid. Mae llwybrydd sy’n gwneud NAT ffynhonnell ar draffig allanol yn disodli ffynhonnell breifat y cleient â’i gyfeiriad ei hun ar y rhyngwyneb allanol. Os mai’r twnnel yw’r rhyngwyneb hwnnw, mae’r adlewyrchydd yn gweld cyfeiriad y twnnel. Os yw’r pecyn wedi’i eithrio o’r twnnel, mae’r adlewyrchydd yn gweld yr hyn a gynhyrchodd trawsnewid y WAN. Yr un cleient, yr un adlewyrchydd, ateb gwahanol.

Tri achos sy’n edrych yn debyg ac nad ydynt

Nid y gwahaniaeth defnyddiol yw cyhoeddus yn erbyn preifat, ond pa bwynt gorfodi a drafododd y pecyn. Ewch drwy’r achosion gyda thablau’r llwybrydd ar agor, oherwydd gall un porwr gynhyrchu’r tri yn dibynnu ar reol y gwnaethoch anghofio ei hysgrifennu.

Dim ond yr ail achos sy’n torri gofyniad na ddylai rhywfaint o draffig byth fynd allan yn uniongyrchol, a dim ond y cyntaf a’r trydydd sy’n datgelu dynodydd o ochr y twnnel. Nid yw unrhyw un o’r tair rhes yn haeriad am ymddygiad darparwr penodol: mae p’un a yw adlewyrchydd preifat yn gyrraeddadwy o gwbl yn dibynnu ar lwybro, cyfeiriadau IP a ganiateir y pen arall a pholisi’r mur tân ar y ddau ben.

Nid yw cadw cyfrif gyda’r un darparwr yn profi dim o hyn. Werth nodi hefyd y gall cais a lwybrwyd gadw ffynhonnell LAN y cleient os nad oes dim yn ei thrawsnewid, felly rhaid olrhain y maes ffynhonnell yn hytrach na’i dybio o’r diagram topoleg.

Nid casglu yw dewis

Mae WebRTC yn casglu cyfeiriadau ymgeisiol i’w rhoi ar brawf, ac efallai na fydd ymgeisydd sy’n ymddangos mewn rhestr ddiagnostig byth yn cario cyfryngau. Mae darllen y rhestr fel “dyma’r hyn a ddysgodd y pen arall” yn goramcangyfrif y dystiolaeth. Y pâr a ddewiswyd yw’r hyn a gariodd y sesiwn mewn gwirionedd, ac mae’n byw mewn maes arall.

Mae gwiriad allfa HTTPS yn ateb cwestiwn arall eto: y cyfeiriad ffynhonnell a welodd gweinydd gwe ar gyfer y cais hwnnw. Mae’n groeswirio defnyddiol yn union oherwydd ei fod yn defnyddio protocol gwahanol ac yn aml gyrchfan wahanol i adlewyrchydd UDP, ac mae anghytundeb rhwng y ddau fel arfer yn cyfeirio at reol llwybro yn hytrach nag at fyg.

Penderfynwch ar y polisi, yna darllenwch yr ateb

Ysgrifennwch y bwriad cyn profi: pa draffig sy’n rhaid defnyddio’r twnnel, pa un a gaiff fynd allan yn uniongyrchol, pa deuluoedd cyfeiriad sydd o fewn cwmpas, a beth ddylai ddigwydd pan fydd y twnnel i lawr. Heb y llinell sylfaen honno mae pob arsylwad yn amwys, oherwydd ni allwch wahanu gollyngiad oddi wrth lwybr a ganiatawyd gennych yn fwriadol.

Yna gofynnwch un cwestiwn ar y tro. Pa lwybr mae’r gyrchfan hon yn ei gymryd. Pa gyfeiriad mae’r adlewyrchydd hwn yn ei adrodd. Pa bâr ymgeisiol a ddewisodd y sesiwn. Cadwch yr atebion wrth ymyl y polisi a’u dyddio, oherwydd gall diweddariad cadarnwedd newid yr ymddygiad rhagnodedig mewn ffyrdd sy’n annilysu casgliad y llynedd yn ddiymdroi.

Mae’r llwybrydd yn dal yn bwynt gorfodi cryf, oherwydd ei fod yn gweld traffig na all cleient ei osgoi heb ail-gyflunio’r cleient ei hun. Nid yw’n addewid nad yw pob maes ym mhob protocol cymhwysiad yn datgelu dim, ac nid yw’n cymryd lle ysgrifennu’r llwybrau y gwnaethoch ddewis eu caniatáu.