Hvað afhjúpar STUN-svar þegar VPN-ið keyrir á beinunni

Þegar göngin lifa á beinunni hefur vélin sem keyrir vafrann alls ekki gönguviðmót. Spurðu þá vél um staðbundin föng hennar og þú færð einkafang í LAN og lykkju, ekkert sem líkist VPN-fangi. Samt getur STUN-þjónn hinum megin enn greint frá einhverju merkingarbæru um slóðina, og það sem hann greinir frá fer algjörlega eftir því hvernig þessi tiltekna beiðni var beint og þýdd.

Þetta er sá hluti sem er þess virði að hægja á sér fyrir. „Vafrinn á ekki VPN-fangið“ svarar spurningu um viðmót, en endurkastað fang er svar um slóð gegnum þýðingu. Að rugla þessu tvennu saman framleiðir öruggar ályktanir um afhjúpun sem sönnunargögnin styðja ekki.

Tvö tæki, tvö viðmótasöfn

Í uppsetningu sem byggir á beinu enda göngin á beinunni og LAN-biðillinn sendir venjulega umferð til sjálfgefins gáttar síns. Viðmótalisti biðilsins helst stuttur: eitt einkafang, kannski annað fyrir annað net, og lykkjan. Áhættan er ekki sú að eitt þeirra sé tilviljunarkennt göngufangið; hún er sú að beiðnin fari út um slóð sem þú valdir ekki.

Spurðu biðilinn hvaða slóð tiltekið áfangastaður myndi taka í stað þess að spyrja hvaða viðmót séu til. Svarið nefnir gátt og upprunafangið sem kjarninn myndi nota, og það er þegar upplýsandi en hvaða fangaskrá sem er.

ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ips

Skjölunarsvið eru góð prófunarmið vegna þess að þau leysast aldrei í raunverulega þjónustu. Berðu saman það sem biðillinn segir við það sem beinan segir, og líttu á hvert ósamræmi sem sönnun þess að stefnubeining, regla um klofin göng eða önnur sjálfgefin slóð geri eitthvað sem þú reiknaðir ekki með.

Hvað Binding-svar má segja

RFC 8489 skilgreinir Binding-beiðnina og -svarið, þar sem þjónninn greinir frá upprunasendingarfanginu sem hann fylgdist með fyrir þá beiðni. Þetta er fullyrðing um eina fimmund á einu augnabliki, ekki manntal yfir viðmót biðilsins. Þess vegna gerist allt áhugavert milli biðilsins og athugunarpunktsins.

Þetta bil fylla beining og þýðing. Beina sem gerir upprunanat á útleið skiptir einkauppruna biðilsins út fyrir eigið fang á útleiðarviðmótinu. Ef það viðmót eru göngin sér endurkastarinn göngufangið. Ef pakkinn var undanskilinn göngunum sér endurkastarinn það sem WAN-þýðingin framleiddi. Sami biðill, sami endurkastari, annað svar.

Þrjú tilvik sem líkjast og eru það ekki

Gagnlegi greinarmunurinn er ekki opinbert gegn einku, heldur hvaða framfylgdarpunktur annaðist pakkann. Farðu í gegnum tilvikin með töflur beinunnar opnar, því einn vafri getur framleitt öll þrjú eftir reglu sem þú gleymdir að skrifa.

Aðeins annað tilvikið brýtur kröfuna um að tiltekin umferð fari aldrei beint út, og aðeins fyrsta og þriðja afhjúpa auðkenni frá gönguhliðinni. Engin af þremur línum er fullyrðing um hegðun tiltekins þjónustuveitanda: hvort einkendurkastari sé yfirleitt aðgengilegur fer eftir beiningu, leyfðum IP-föngum hins aðilans og eldveggjastefnu á báðum endum.

Að eiga reikning hjá sama þjónustuveitanda sannar ekkert af þessu. Einnig er vert að muna að beint beiðni getur haldið LAN-uppruna biðilsins ef ekkert þýðir hann, svo fylgjast verður með upprunareitnum í stað þess að gera ráð fyrir honum út frá netlagsmyndinni.

Söfnun er ekki val

WebRTC safnar frambjóðendaföngum til að prófa, og frambjóðandi sem birtist í greiningarlista gæti aldrei borið miðla. Að lesa listann sem „þetta er það sem hinn aðilinn lærði“ ofmetur sönnunargögnin. Valda parið er það sem bar lotuna í raun, og það er í öðrum reit.

HTTPS-útgönguprófari svarar enn annarri spurningu: upprunafanginu sem vefþjónn sá fyrir þá beiðni. Það er gagnlegt krosspróf einmitt vegna þess að það notar annað samskiptareglur og oft annan áfangastað en UDP-endurkastari, og ósamræmi þeirra á milli bendir venjulega á beiningarreglu frekar en villu.

Ákveddu stefnuna og lestu svo svarið

Skrifaðu niður ætlunina fyrir prófun: hvaða umferð verður að nota göngin, hvaða má fara beint út, hvaða fangafjölskyldur eru innan sviðs og hvað ætti að gerast þegar göngin eru niðri. Án þessarar grunnlínu er hver athugun tvíræð, því þú getur ekki aðgreint leka frá slóð sem þú leyfðir viljandi.

Spurðu svo einnar spurningar í einu. Hvaða slóð tekur þessi áfangastaður. Hvaða fang greinir þessi endurkastari frá. Hvaða frambjóðendapar valdi lotan. Haltu svörunum við hlið stefnunnar og dagsettu þau, því fastbúnaðaruppfærsla getur breytt sjálfgefinni hegðun á þann hátt að hún ógildi ályktun síðasta árs hljóðlega.

Beinan er enn sterkur framfylgdarpunktur, því hún sér umferð sem biðill getur ekki farið fram hjá án þess að stilla sjálfan sig upp á nýtt. Það er ekki loforð um að sérhver reitur í sérhverri forritareglu afhjúpi ekkert, og það kemur ekki í staðinn fyrir að skrifa niður slóðirnar sem þú valdir að leyfa.