VPN маршрутизаторда жұмыс істегенде STUN жауабы нені ашады
Маршрутизатордың туннель мекенжайы браузердің жергілікті мекенжайы емес. Шағылыстырғыш нені хабарлайтынын оқымас бұрын әрбір сұраныстың қалай бағытталып, аударылатынын қадағалаңыз.
Туннель маршрутизаторда тұрғанда, браузерді іске қосатын машинада туннель интерфейсі мүлдем болмайды. Сол машинадан оның жергілікті мекенжайларын сұрасаңыз, жеке LAN мекенжайы мен кері цикл аласыз, VPN мекенжайына ұқсайтын ештеңе жоқ. Соған қарамастан, арғы жақтағы STUN сервері жол туралы әлі де мағыналы бірдеңе хабарлай алады, және оның не хабарлайтыны сол нақты сұраныстың қалай бағытталғанына және аударылғанына толық байланысты.
Дәл осы бөлікте баяулауға тұрарлық. «Браузер VPN мекенжайының иесі емес» деген интерфейстер туралы сұраққа жауап береді, ал шағылған мекенжай — аударма арқылы өтетін жол туралы жауап. Екеуін шатастыру ашу туралы дәлелдер қолдамайтын сенімді қорытындылар туғызады.
Екі құрылғы, интерфейстердің екі жиынтығы
Маршрутизаторға негізделген конфигурацияда туннель маршрутизаторда аяқталады және LAN клиенті қарапайым трафикті өзінің әдепкі шлюзіне жібереді. Клиенттің интерфейс тізімі қысқа болып қалады: бір жеке мекенжай, мүмкін басқа желі үшін екіншісі, және кері цикл. Тәуекел солардың бірі кездейсоқ туннель мекенжайы болуында емес; тәуекел сұраныстың сіз таңдамаған жолмен шығуында.
Клиенттен нақты межелі орын қай жолмен жүретінін сұраңыз, қандай интерфейстер бар екенін сұраудың орнына. Жауап қақпаны және ядро қолданатын бастау мекенжайын атайды, бұл кез келген мекенжай тізімінен де ақпараттырақ.
ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ipsҚұжаттама диапазондары сынақ межелері ретінде жақсы, себебі олар ешқашан нақты қызметке шешілмейді. Клиент айтқанды маршрутизатор айтқанмен салыстырыңыз, және кез келген сәйкессіздікті саясаттық бағыттау, бөлінген туннель ережесі немесе екінші әдепкі маршрут есепке алмаған бірдеңе жасап жатқанының дәлелі деп қараңыз.
Binding жауабы нені айта алады
RFC 8489 Binding сұранысы мен жауабын анықтайды, онда сервер сол сұраныс үшін байқаған бастау тасымал мекенжайын хабарлайды. Бұл бір сәттегі бір бестік туралы мәлімдеме, клиент интерфейстерінің санағы емес. Сондықтан қызықтының бәрі клиент пен бақылау нүктесінің арасында болады.
Осы олқылықты бағыттау мен аударма толтырады. Сыртқа шығатын трафикке бастау NAT жасайтын маршрутизатор клиенттің жеке бастауын шығу интерфейсіндегі өз мекенжайымен алмастырады. Егер бұл интерфейс туннель болса, шағылыстырғыш туннель мекенжайын көреді. Егер пакет туннельден шығарылған болса, шағылыстырғыш WAN аудармасы жасағанды көреді. Сол клиент, сол шағылыстырғыш, өзге жауап.
Ұқсас көрінетін және олай болмайтын үш жағдай
Пайдалы айырмашылық қоғамдық пен жеке арасында емес, пакетті қай орындау нүктесі өңдегенінде. Жағдайларды маршрутизатордың өз кестелері ашық күйде қарап шығыңыз, себебі бір браузер үшеуін де жазуға ұмытып кеткен ережеңізге қарай жасай алады.
| Where the request leaves | What rewrites the source | What the reflector reports |
|---|---|---|
| Tunnel interface on the router | Router NAT towards the tunnel address | The tunnel address as seen on that path |
| WAN interface, excluded by policy | Ordinary WAN translation | The public WAN address |
| Private reflector reached through the tunnel route | Router NAT towards the tunnel address | An internal identifier valid only inside that path |
Тек екінші жағдай ғана кейбір трафиктің ешқашан тікелей шықпауы туралы талапты бұзады, және тек бірінші мен үшінші ғана туннель жағындағы идентификаторды ашады. Үш жолдың ешқайсысы нақты провайдердің мінез-құлқы туралы тұжырым емес: жеке шағылыстырғышқа жалпы қол жеткізу мүмкіндігі бағыттауға, қарсы жақтың рұқсат етілген IP мекенжайларына және екі ұштағы желіаралық қорған саясатына байланысты.
Сол провайдерде тіркелгісі болуы мұның ешқайсысын дәлелдемейді. Сондай-ақ бағытталған сұраныс егер оны ештеңе аудармаса, клиенттің LAN бастауын сақтай алатынын есте ұстаған жөн, сондықтан бастау өрісін топология диаграммасынан болжамай, қадағалау керек.
Жинау — таңдау емес
WebRTC сынау үшін кандидат мекенжайларды жинайды, ал диагностикалық тізімде көрінген кандидат медианы ешқашан тасымалдамауы мүмкін. Тізімді «қарсы жақ осыны білді» деп оқу дәлелді асыра бағалайды. Таңдалған жұп сессияны шын мәнінде тасымалдаған жұп, және ол басқа өрісте тұрады.
HTTPS шығу тексерушісі тағы бір сұраққа жауап береді: веб-сервер сол сұраныс үшін көрген бастау мекенжайы. Бұл UDP шағылыстырғышынан өзге хаттаманы және жиі өзге межені қолданатындықтан пайдалы айқас тексеру, ал екеуінің арасындағы сәйкессіздік әдетте қатеге емес, бағыттау ережесіне нұсқайды.
Саясатты анықтаңыз, содан кейін жауапты оқыңыз
Сынақ алдында ниетті жазып қойыңыз: қай трафик туннельді қолдануы керек, қайсысы тікелей шыға алады, қандай мекенжай отбасылары қамтылады, және туннель өшкенде не болуы керек. Осы базалық сызықсыз әр бақылау екіұшты, себебі ағып кетуді әдейі рұқсат еткен жолдан ажырата алмайсыз.
Содан кейін бір уақытта бір сұрақ қойыңыз. Бұл межелі орын қай жолмен жүреді. Бұл шағылыстырғыш қай мекенжайды хабарлайды. Сессия қай кандидат жұбын таңдады. Жауаптарды саясаттың қасында ұстап, күн қойыңыз, себебі микробағдарлама жаңартуы өткен жылғы қорытындыны үнсіз жоққа шығаратындай әдепкі мінез-құлықты өзгертуі мүмкін.
Маршрутизатор әлі де күшті орындау нүктесі, себебі ол клиент өзін қайта конфигурацияламай өте алмайтын трафикті көреді. Бұл әр қолданбалық хаттаманың әр өрісі ештеңе ашпайды деген уәде емес, және рұқсат етуді таңдаған жолдарды жазып қоюдың орнын баспайды.