Kion listo de WebRTC-kandidatoj malkaŝas pri via VPN
Gastiga, servile-refleksa aŭ relaja kandidato diras, de kie venis adreso. Nur la elektita ICE-paro diras, kiun vojon la aŭdovidaĵo efektive uzis.
Kiam WebRTC-testpaĝo presas 172.20.4.15, ĝi eksciis, ke en tiu reto ekzistas loka interfaco. Tio estas vera malkaŝo, kaj ĝi ne estas la sama konstato kiel «la aŭdovidaĵo eliris tra la VPN-elirejo». Kandidata malkovro kaj paketa enkursigo estas apartaj mekanismoj, kaj plej multaj likaj raportoj kunfandas ilin en unu verdikton. Kiun el la du vi rigardas, decidas la riparon.
Kolektado okazas antaŭ ol io ajn estas sendita
La retumilo listigas lokajn interfacojn, sendas bindpeton al STUN-servilo kaj petas de TURN-servilo asignon, poste skribas la rezultojn en la sesian priskribon kiel kandidatajn liniojn. Ĉio tio finiĝas sen voko, sen aŭdovidaĵo kaj sen kontraŭulo. Listo de kandidatoj estas do registro de malkovro, ne de transporto.
Modernaj retumiloj povas anstataŭigi la literalan adreson de gastiga kandidato per mDNS-nomo .local, tiel ke la paĝo ne povas legi la privatan IP. La loka reto ankoraŭ vidas la dissendajn demandojn, kiuj solvas tiun nomon, do la adreso estas kaŝita antaŭ la aplikaĵo anstataŭ forigita el la reto.
Ankaŭ la ordo gravas: nova paĝa ŝargo kolektas novan aron, kun alia TURN-asigno kaj eble alia refleksa mapado. Du malsamaj ruloj ne nepre estas du malsamaj agordoj.
Tri kandidataj tipoj, tri specoj de pruvo
Ĉiu linio devenas de alia observado. Ĉiu tipo respondas al alia demando, kaj la tabelo disigas ilin laŭ tio, kion ili povas kaj ne povas konstati.
| Candidate | Derived from | What it establishes | What it cannot establish |
|---|---|---|---|
| Host | An interface on the device | A local address exists in that network | That the peer can reach it |
| Server-reflexive | A STUN binding response | How a NAT mapped this source | Which exit the media will use |
| Peer-reflexive | A connectivity check that arrived | An address seen by the far side | That it was ever advertised |
| Relay | A TURN allocation | The relay server accepted the session | That the relay carries the call |
Relaja kandidato ofte estas konfuzata kun la interreta adreso de la uzanto. Ĝi apartenas al la TURN-servilo, kaj ĝia ĉeesto montras, ke relajo estis disponebla, ne ke la retumilo elektis ĝin. La sama konfuzo iras la alian direkton ĉe gastigaj kandidatoj, kie mDNS-nomo kaŝas la adreson antaŭ la paĝo dum la reto ankoraŭ portas la demandojn. Legu la tipon antaŭ ol legi la valoron.
La elektita paro respondas la enkursigan demandon
ICE parigas ĉiun lokan kandidaton kun ĉiu malproksima, plenumas konektajn kontrolojn sur ĉiu paro kaj nomumas venkinton. Tiu nomumita paro, videbla en la propra diagnostiko de la retumilo, portas la aŭdovidaĵon. Ĉio alia en la listo estas ebleco, kiu malgajnis.
La venkinto diras al vi la formon de la vojo. Relajo-al-relajo iras tra la TURN-servilo, gastiga paro restas en la loka reto, kaj servile-refleksa paro iras rekte tra NAT. Tio estas la fakto, kiun bezonas VPN-kontrolo, kaj ĝi estas alia fakto ol la adreslisto. Du vokoj kun identaj kandidataj listoj povas uzi malsamajn parojn.
Ne elektitaj kandidatoj tamen estis kolektitaj, kaj kolektado estas reta trafiko, kiu forlasas la maŝinon. Voko, kiu fine uzis la relajon, ne signifas, ke nenio estis malkaŝita dum la listo estis konstruata.
Regoj respondas al celoj, ne al lika poentaro
La WebRTC-specifikaĵo pri IP-traktado priskribas plurajn politikojn: uzi nur la interfacon, kiu portas la defaŭltan vojon; uzi ĉiujn interfacojn; kaj malŝalti neprokoksitan UDP tiel, ke trafiko devas iri tra relajo aŭ prokoko. Ĉiu interŝanĝas konektecon kaj malfruon kontraŭ alia speco de elmetiĝo. Kiun retumilo realigas, kaj sub kiu nomo, varias laŭ platformo kaj versio.
Elektu la politikon laŭ la celo. Kaŝi lokajn adresojn antaŭ paĝo estas unu celo; malhelpi rektan kunulan trafikon estas alia; teni ĉiun paketon ene de la tunelo estas tria. La unua plejparte temas pri tio, kion ekscias la aplikaĵo, la dua pri tio, kiu vojo estas permesita, kaj la tria devas esti trudata ankaŭ ĉe la limo de la platformo aŭ de la VPN.
Kiun ajn regon vi elektas, kontrolu ambaŭ duonojn: rulu la kolektan teston kaj notu la kandidatajn tipojn, poste ekzamenu la elektitan paron dum reala sesio. Pura adreslisto kun rekta aŭdovida vojo ankoraŭ estas vojo, kiun vi ne intencis.