Porttovábbítás Android hotspoton: a három belépési pont

Bekapcsolta a hotspotot, csatlakoztatta a VPN-t, megnyitott egy portot az alkalmazásban, és a másik eszköz mégsem tud csatlakozni. A hiányzó darab szinte soha nem maga a port, hanem az a kérdés, melyik gép birtokolja a figyelő socketet, és melyik címre kell a másik eszköznek eljutnia. A telefontól haladok kifelé, mert az Ön előtti képernyő megmondja, melyik három belépési pontot teszteli valójában.

Ott kezdje, ahol a szolgáltatás valóban fut

Nyissa meg az alkalmazást, amelynek fogadnia kell a kapcsolatot, és olvassa el a saját állapotoldalát. Ha azt írja, hogy figyel, jegyezze fel a címet, amelyhez kötve van, mert ez az egyetlen részlet dönti el az alábbi esetek többségét. A 127.0.0.1 címhez kötött alkalmazás csak a telefonról érhető el, és ezen nem változtat sem a hotspot kliens, sem az operátor leképezése, sem a VPN kimenete.

Ezután erősítse meg, melyik eszköz futtatja a szolgáltatást. Ha a telefon, a socket ehhez az alkalmazáshoz tartozik; ha egy laptop a hotspot mögött, a figyelő és a tűzfala a laptophoz tartozik, a telefon pedig csak továbbítja a csomagokat. Két különböző terv ez, és összekeverésük az oka annak, hogy az egyik helyen megnyitott port a másikon semmit nem tesz.

Hibakereshető buildben az adb shell a /proc/net/tcp fájlon keresztül listázza a socketeket, de a legtöbb embernek az alkalmazás saját állapota az őszinte forrás.

Első belépési pont: egy másik eszköz a hotspoton

Ez a helyi eset és a legegyszerűbb. A másik eszköz a telefonhoz azon a címen jut el, amelyet az átjárójaként lát, azon a porton, amelyen az alkalmazás figyel, és semmi a hotspoton kívül nem vesz részt benne. Operátor-leképezés nem kell, mert a forgalom soha nem hagyja el a helyi szegmenst.

Két dolog töri meg: az alkalmazás loopbackhez kötése, vagy a telefon kliensházirendje, amely nem engedi a helyi kapcsolatot. Az alkalmazás saját protokolljával teszteljen, ne csupasz TCP-vel, mert a fogadó, majd elutasító figyelő messziről zárt portnak látszik.

Ha a szolgáltatás csatlakoztatott laptopon fut, a telefon hotspot címe egyáltalán nem a cél; a laptop hotspot-interfészen lévő címe és ott egy figyelő kell.

Második belépési pont: az operátor útja

A telefon elérése mobilhálózatból más probléma, és IPv4 esetén legtöbbször egyszerűen nem működik. Az operátorok megosztott fordítás mögé teszik az eszközöket, és ezért különít el a RFC 6598 megosztott címteret pontosan erre a felállásra. Egy kéretlen bejövő kapcsolatnak nincs leképezése, amelyen keresztül megérkezne, és semmilyen helyi beállítás nem hoz létre ilyet, mert a fordító nem az Ön eszköze.

A root hozzáférés ezen sem változtat; a telefon vermét irányítja, nem az operátor fordítóját. Ahol az operátor nyilvános IPv6 előtagot kínál, létezhet bejövő út, de a figyelőnek és a telefonnak a tűzfalán még mindig tudatos engedély kell.

Harmadik belépési pont: a VPN kimenete

Az a cím, amelyet egy webhely az alagút aktív állapotában jelent, a lefedett kimenő forgalom kimeneti címe. Ez nem olyan cím, amely az Ön nevében fogad bejövő kapcsolatokat. Bemeneti irányú használatához olyan szolgáltatás kell, amelyet a szolgáltató valóban kínál, például továbbított port, valamint használható út a kimenettől az ügyfélig.

Helyi engedélyezési szabály nem tudja létrehozni ezt a leképezést. Amit tesz, az annak megváltoztatása, hogy az alkalmazás válaszai melyik utat veszik, és ez akkor számít, amikor az alkalmazás ki van zárva az alagútból: a kérés és a válasz különböző hálózati környezetbe kerülhet, és a kapcsolat tűzfalproblémaként hiúsul meg.

Teszteljen egy utat végponttól végpontig, majd nevezze meg a tulajdonost

Írja fel a négyest tesztelés előtt: tervezett forrás, célcím, szállítás, port és a gépet, amely a figyelő socketet birtokolja. Ha bármely elem találgatás, a teszt semmi hasznosat nem mond.

Ezután tesztelje azt az egy engedélyezett utat az alkalmazás hitelesítésének érintetlenül hagyásával. Ne tegyen közzé széles figyelőt, és ne kapcsoljon ki nem kapcsolódó vezérlőket csak azért, hogy egy kétértelmű címellenőrzés válaszoljon, mert mindkét változás túléli a tesztet.

Az Android tethering alrendszere saját útján továbbítja a lefelé irányuló forgalmat, elkülönülve a szokásos VPN-rögzítéstől, ezért egy csatlakoztatott laptopon működő böngésző semmit nem mond a telefonon futó szolgáltatás bejövő eléréséről. Mielőtt kijelentené, hogy működik:

• A figyelő olyan címen van, amelyet a másik fél elér, nem loopbacken.
• A másik fél az adott belépési pont címét használja, nem egy állapotoldal kimeneti címét.
• Az operátornál vagy szolgáltatónál lévő leképezés támogatott szolgáltatás, nem helyben hozzáadott szabály.
• A kérés és a válasz ugyanazon a hálózati környezeten halad át, és a hitelesítés még mindig átmegy.