VPN versus TURN-vahendaja: mis tegelikult WebRTC-kõnet kannab?
Tunnel muudab teed, mida ICE näeb; see ei eralda kunagi vahendajat ega anna signaliseerimist. Võrrelge, mida pakub VPN-i väljapääs ja TURN-server.
Leht laaditakse VPN-i kaudu, kõne aga ei ühendu kunagi: kaks erinevat riket sama aadressiribaga. Tunnel muutis teed, mida brauser kasutab; sellest ei saanud signaliseerimisteenust, STUN-serverit ega vahendajat ning see ei otsusta, millise kandidaatide paari ICE valib. Just iga komponendi töö eraldamine muudab ebamäärase „WebRTC on blokeeritud“ konkreetseks rikkeks.
Neli tööd, millest tunnel puudutab ainult ühte
Rakendus vahetab sessiooniinfot mingi signaliseerimiskorralduse kaudu ja see on esimene töö. ICE kogub kandidaatide aadresse ja testib paare, kuni üks töötab, mis on teine. STUN võimaldab vastaspoolel õppida, kuidas tema liiklus väljast paistab, ja TURN eraldab vahendaja juhtudeks, kus otsest teed ei ole. Need neli rolli on erinevad ja VPN mõjutab aadresse ja filtreerimist, millega need kokku puutuvad, selle asemel et ühtegi neist pakkuda.
Seepärast ei ütle edukas sisselogimine meediatee kohta midagi. Signaliseerimine sõidab tavaliselt sama HTTPS-i peal, mida leht juba kasutab, pordil 443, samal ajal kui meedia võib liikuda UDP kaudu täiesti teise sihtkohta.
Privaatne adresseerimine teeb segaduse hullemaks. Tunneliaadress on vastaspoolele kasulik ainult siis, kui sellel vastaspoolel on kavandatud tee sinna tagasi; privaatne olemine ei ole tõestus vastastikusest kättesaadavusest ja brauserid ei käsitle seda nii, kui nad viskavad välja kandidaate, mida ei saa kontrollida. Kandidaat, mis teile lokaalsena paistab, võib teiselt poolt olla kontrollimatu. See lünk tasub välistada enne, kui järeldate, et tunnel pillab meediat.
Võrrelge VPN-i väljapääsu TURN-vahendajaga
Mõlemad edastavad pakette, mistõttu neid aetakse segamini, ja ülalolevat võrdlustabelit tasub lugeda veeru kaupa, mitte funktsioonide loendina. Vahendaja eraldamine on autenditud taotlusega loodud objekt sessiooni kohta; tunnel on marsruut. Ühel on volitused, mis aeguvad, teisel on vastaspoole aadress, mis kas on kättesaadav või ei ole.
| Component | What it contributes | What it needs to work | What it cannot do |
|---|---|---|---|
| VPN exit | Changes the observed mapping and the route packets take | A working tunnel and a policy that permits the media transport | Allocate a relay or supply signaling |
| STUN server | Reports the mapped address a peer appears to use | Reachability from the client, on its configured transport | Carry media when a direct path fails |
| TURN server | Relays media through an authenticated allocation | Valid credentials, an allowed transport and sufficient capacity | Fix a missing ICE policy or an unauthorized client |
| Signaling channel | Carries offers, answers and candidate lists | Both peers reaching the same application endpoint | Establish connectivity by itself |
Pordinumbrid teevad erinevuse konkreetseks. TURN kuulab vaikimisi 3478 juures UDP ja TCP jaoks ning 5349 juures TLS-i jaoks, ja võrk, mis lubab 443, aga viskab need pordid välja, ebaõnnestub vahendatud kõnedes, samal ajal kui veebilehitsemine jätkub tavaliselt. VPN-i pordi muutmine ei sea sellest midagi, sest olulised pordid kuuluvad vahendajateenusele, mitte tunnelile.
Lugege diagnostikat, seejärel testige kõnet
Brauserid näitavad vajalikku teavet ilma paketipüügita. Avage oma brauseri WebRTC diagnostikaleht, tehke kõne ja lugege valitud kandidaatide paari, mitte kogutud loendit: millised kohalikud ja kaugemad kandidaaditüübid valiti, millise transpordi ja aadressiperekonna kaudu, ning kas tee on otsene või vahendatud.
Kaks lugemisviisi tasub ette teada. Kui valitud paar on host-host privaatsetel aadressitel, jääb meedia teele, mille üle saab arutleda; kui see on vahendaja-vahendaja, kulutab kõne vahendaja võimsust ja sõltub selle teenuse kättesaadavusest. Rike, mis peatub „kontrollimine“ juures ilma valitud paarita, tähendab, et kandidaadid koguti, kuid ükski ei läbinud ühenduvuskontrolle.
Seejärel võrrelge samu kahte otspunkti samas kõnes, muutes ainult ühte heakskiidetud tingimust, ja võtke tulemus vastu kahesuunalise meedia või andmete põhjal, mitte „ühendatud“ indikaatori põhjal. Kandidaatide kogumine õnnestub paljudel juhtudel, mis ei kanna ühtegi helikaadrit. Korrake kõnet muudatuse teisel poolel ja hoidke mõlemad diagnostikasalvestused alles, sest kahe jooksu võrdlemine annab rohkem teavet kui kummagi eraldi lugemine. Samad otspunktid, sama koodek, üks muudetud muutuja.
Rakendus, mis seab oma ICE-transpordipoliitika teadlikult relay peale, küsib ainult vahendaja kandidaate. See säte ei loo vahendajat ega paranda puuduvaid volitusi; see teeb nõude selgeks, mis on kasulik siis, kui keegi süüdistab VPN-i poliitikas, mille sait ise valis.
Hoidke privaatsusväide sama kitsas kui tõendid
Kandidaatide paljastumine sõltub brauseri ja rakenduse poliitikast, mitte ainult tunneli olekust, ja W3C vastaspoole ühenduse spetsifikatsioon käsitleb IP-käitlust omaette küsimusena. Ühendatud VPN on seega nõrk alus lubaduseks, et kõne paljastab ainult ühe valitud aadressi. Kaks vastaspoolt sama tunneli taga võivad isegi valida tee, mis ei lahku kunagi hostist, mis on ühtaegu privaatsuse parandus ja ühenduvuse piirang.
Mida saate täpselt öelda, on kitsam ja kasulikum: milline kandidaatide paar valiti, milline transport seda kandis ja kas see tee jäi tunneli sisse. Kirjutage need kolm fakti üles töötava ja ebaõnnestuva kõne jaoks, ja erinevus nimetab tavaliselt komponendi, mida parandada.
Kui ühenduvus töötab, eraldage jõudlus kättesaadavusest. Kadu, viivitus, järjekord ja MTU asuvad kõik õige kandidaatide paari allavoolu, ja katkendliku kõne käsitlemine ühenduvusrikkena saadab teid põhjuseta tagasi kandidaatide loendi juurde.