Mida STUN-vastus paljastab, kui VPN töötab ruuteril
Ruuteri tunneliaadress ei ole brauseri kohalik aadress. Jälgige, kuidas iga päring on marsruuditud ja tõlgitud, enne kui loete, mida reflektor teatab.
Kui tunnel asub ruuteril, ei ole brauserit käitaval masinal üldse tunneliliidest. Küsige sellelt masinalt selle kohalikke aadresse ja saate privaatse LAN-aadressi ning tagasisaatmise, mitte midagi, mis meenutaks VPN-aadressi. Ometi võib teisel pool olev STUN-server ikka teatada midagi sisulist tee kohta, ja see, mida ta teatab, sõltub täielikult sellest, kuidas see konkreetne päring oli marsruuditud ja tõlgitud.
Just see osa väärib aeglasemat lugemist. „Brauser ei oma VPN-aadressi“ vastab küsimusele liideste kohta, samal ajal kui peegeldatud aadress on vastus tõlkimise teel kulgeva tee kohta. Nende kahe segamine annab kindlameelseid järeldusi avalikustamisest, mida tõendid ei toeta.
Kaks seadet, kaks liideste komplekti
Ruuteripõhises seadistuses lõpeb tunnel ruuteril ja LAN-klient saadab tavalise liikluse oma vaikelüüsile. Kliendi liideste loend jääb lühikeseks: üks privaatne aadress, võib-olla teine teise võrgu jaoks, ja tagasisaatmine. Oht ei ole selles, et üks neist juhtub olema tunneliaadress; oht on selles, et päring väljub teed, mida te ei valinud.
Küsige kliendilt millist teed konkreetne sihtkoht võtaks, selle asemel et küsida, millised liidesed olemas on. Vastus nimetab lüüsi ja lähteaadressi, mida tuum kasutaks, mis on juba informatiivsem kui ükskõik milline aadresside loend.
ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ipsDokumentatsioonivahemikud on head testisihtkohad, sest need ei lahendu kunagi päris teenuseks. Võrrelge, mida ütleb klient, sellega, mida ütleb ruuter, ja käsitlege igasugust lahknevust tõendina, et poliitikapõhine marsruutimine, poolitatud tunneli reegel või teine vaikemarsruut teeb midagi, mida te ei arvestanud.
Mida Binding-vastusel on lubatud öelda
RFC 8489 määratleb Binding-päringu ja -vastuse, kus server teatab selle päringu jaoks vaadeldud lähte-transpordiaadressi. See on väide ühe viisiku kohta ühel hetkel, mitte kliendi liideste loendus. Seega toimub kõik huvitav kliendi ja vaatluspunkti vahel.
Selle lünga täidavad marsruutimine ja tõlkimine. Ruuter, mis teeb väljuva liikluse lähte-NAT-i, asendab kliendi privaatse lähte oma aadressiga väljuval liidesel. Kui see liides on tunnel, näeb reflektor tunneliaadressi. Kui pakett jäeti tunnelist välja, näeb reflektor seda, mille tekitas WAN-tõlge. Sama klient, sama reflektor, erinev vastus.
Kolm juhtumit, mis näivad sarnased ja ei ole
Kasulik eristus ei ole avalik versus privaatne, vaid see, milline jõustamispunkt paketti käsitles. Käige juhtumid läbi ruuteri enda tabelitega lahti, sest üks brauser võib tekitada kõik kolm sõltuvalt reeglist, mille kirjutamise te unustasite.
| Where the request leaves | What rewrites the source | What the reflector reports |
|---|---|---|
| Tunnel interface on the router | Router NAT towards the tunnel address | The tunnel address as seen on that path |
| WAN interface, excluded by policy | Ordinary WAN translation | The public WAN address |
| Private reflector reached through the tunnel route | Router NAT towards the tunnel address | An internal identifier valid only inside that path |
Ainult teine juhtum rikub nõuet, et teatud liiklus ei välju kunagi otse, ja ainult esimene ja kolmas paljastavad tunneli poolel oleva identifikaatori. Ükski kolmest reast ei ole väide konkreetse teenusepakkuja käitumise kohta: kas privaatne reflektor on üldse kättesaadav, sõltub marsruutimisest, teise poole lubatud IP-aadressidest ja tulemüüri poliitikast mõlemas otsas.
Sama pakkuja juures konto omamine ei tõesta sellest midagi. Tasub meeles pidada ka seda, et marsruuditud päring võib säilitada kliendi LAN-lähte, kui miski seda ei tõlgi, seega tuleb lähtevälja jälgida, mitte eeldada topoloogiajooniselt.
Kogumine ei ole valimine
WebRTC kogub proovimiseks kandidaataadresse ja diagnostikaloendis esinev kandidaat ei pruugi kunagi meediat kanda. Loendi lugemine kui „seda õppis teine pool“ liialdab tõenditega. Valitud paar on see, mis sessiooni tegelikult kandis, ja see asub teises väljas.
HTTPS-väljundikontroll vastab veel ühele küsimusele: lähteaadress, mida veebiserver selle päringu jaoks nägi. See on kasulik ristkontroll just seetõttu, et kasutab teist protokolli ja sageli teist sihtkohta kui UDP-reflektor, ning kahe lahknevus osutab tavaliselt marsruutimisreeglile, mitte veale.
Otsustage poliitika, seejärel lugege vastust
Kirjutage kavatsus enne testimist üles: milline liiklus peab kasutama tunnelit, milline tohib väljuda otse, millised aadressiperekonnad on ulatuses ja mis peaks juhtuma, kui tunnel on maas. Ilma selle baasjooneta on iga vaatlus kahemõtteline, sest te ei saa eraldada leket teest, mille te teadlikult lubasite.
Seejärel küsige üks küsimus korraga. Millist teed see sihtkoht võtab. Millist aadressi see reflektor teatab. Millise kandidaatpaari sessioon valis. Hoidke vastused poliitika kõrval ja dateerige need, sest püsivara uuendus võib muuta vaikekäitumist viisil, mis eelmise aasta järelduse vaikselt kehtetuks muudab.
Ruuter on endiselt tugev jõustamispunkt, sest näeb liiklust, millest klient ei saa mööda minna ilma ennast ümber seadistamata. See ei ole lubadus, et iga väli igas rakendusprotokollis ei paljasta midagi, ega asenda nende teede kirjapanekut, mille lubamise te valisite.