VPN маршрутизатордо иштегенде STUN жообу эмнени ачат
Маршрутизатордун туннель дареги браузердин жергиликтүү дареги эмес. Чагылдыргыч эмнени билдирерин окуудан мурун ар бир суроонун кантип багытталып, которулганын көзөмөлдөңүз.
Туннель маршрутизатордо турганда, браузерди иштеткен машинада туннель интерфейси такыр жок. Ошол машинадан анын жергиликтүү даректерин сурасаңыз, жеке LAN дареги менен кайтаруу циклин аласыз, VPN дарегине окшош эч нерсе жок. Ошентсе да, аркы тараптагы STUN сервери жол тууралуу дагы эле маанилүү нерсени билдире алат, жана анын эмнени билдирери ошол конкреттүү суроонун кантип багытталганына жана которулганына толук көз каранды.
Так ушул бөлүктө жайлашууга татыктуу. «Браузер VPN дарегинин ээси эмес» дегени интерфейстер тууралуу суроого жооп берет, ал эми чагылган дарек котормо аркылуу өткөн жол тууралуу жооп. Экөөнү аралаштыруу ачуу тууралуу далилдер колдобогон ишенимдүү тыянактарды жаратат.
Эки түзмөк, интерфейстердин эки топтому
Маршрутизаторго негизделген жөндөөдө туннель маршрутизатордо бүтөт жана LAN кардары кадимки трафикти өзүнүн демейки шлюзине жөнөтөт. Кардардын интерфейс тизмеси кыска бойдон калат: бир жеке дарек, балким башка тармак үчүн экинчиси, жана кайтаруу цикли. Тобокелдик алардын бири кокустан туннель дареги болушунда эмес; тобокелдик суроо сиз тандабаган жол менен чыгышында.
Кардардан белгилүү бир барар жер кайсы жолду аларын сураңыз, кайсы интерфейстер бар экенин суроонун ордуна. Жооп дарбазаны жана өзөк колдоно турган баштапкы даректи атайт, бул ар кандай дарек тизмесинен да маалыматтуураак.
ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ipsДокументтик диапазондор сыноо үчүн жакшы барар жерлер, анткени алар эч качан реалдуу кызматка чечилбейт. Кардар айтканды маршрутизатор айткан менен салыштырыңыз, жана ар кандай айырмачылыкты саясаттык багыттоо, бөлүнгөн туннель эрежеси же экинчи демейки маршрут эсепке албаган бир нерсе кылып жатканынын далили деп караңыз.
Binding жообу эмнени айта алат
RFC 8489 Binding суроосун жана жообун аныктайт, анда сервер ошол суроо үчүн байкаган баштапкы транспорт дарегин билдирет. Бул бир учурдагы бир бештик тууралуу билдирүү, кардардын интерфейстеринин эсеби эмес. Ошондуктан кызыктуунун баары кардар менен байкоо чекитинин ортосунда болот.
Ошол кемтикти багыттоо жана котормо толтурат. Сыртка чыгуучу трафикке баштапкы NAT жасаган маршрутизатор кардардын жеке баштапкы дарегин чыгуу интерфейсиндеги өз дареги менен алмаштырат. Эгер ошол интерфейс туннель болсо, чагылдыргыч туннель дарегин көрөт. Эгер пакет туннелден чыгарылган болсо, чагылдыргыч WAN котормосу жаратканды көрөт. Ошол эле кардар, ошол эле чагылдыргыч, башка жооп.
Окшош көрүнгөн жана андай болбогон үч учур
Пайдалуу айырмачылык коомдук менен жеке ортосунда эмес, пакетти кайсы аткаруу чекити иштеп чыкканында. Учурларды маршрутизатордун өз таблицалары ачык абалда карап чыгыңыз, анткени бир браузер үчөөнү тең сиз жазууну унутуп калган эрежеге жараша жаратышы мүмкүн.
| Where the request leaves | What rewrites the source | What the reflector reports |
|---|---|---|
| Tunnel interface on the router | Router NAT towards the tunnel address | The tunnel address as seen on that path |
| WAN interface, excluded by policy | Ordinary WAN translation | The public WAN address |
| Private reflector reached through the tunnel route | Router NAT towards the tunnel address | An internal identifier valid only inside that path |
Бир гана экинчи учур кээ бир трафиктин эч качан түз чыкпоосу тууралуу талапты бузат, жана биринчи менен үчүнчү гана туннель тараптагы идентификаторду ачат. Үч саптын эч бири белгилүү бир провайдердин жүрүм-туруму тууралуу билдирүү эмес: жеке чагылдыргычка жалпы жетүү мүмкүнчүлүгү багыттоого, каршы тараптын уруксат берилген IP даректерине жана эки учтагы firewall саясатына байланыштуу.
Ошол эле провайдерде аккаунт болушу мунун эч бирин далилдебейт. Ошондой эле багытталган суроо эгер аны эч нерсе которбосо, кардардын LAN баштапкы дарегин сактап калышы мүмкүн экенин эстен чыгарбоо керек, ошондуктан баштапкы талааны топология диаграммасынан болжолдобой көзөмөлдөө керек.
Чогултуу — тандоо эмес
WebRTC сынап көрүү үчүн талапкер даректерди чогултат, жана диагностикалык тизмеде көрүнгөн талапкер медианы эч качан ташыбашы мүмкүн. Тизмени «каршы тарап ушуну үйрөндү» деп окуу далилди ашыра баалайт. Тандалган жуп сессияны чындыгында ташыган жуп, жана ал башка талаада турат.
HTTPS чыгуу текшерүүчүсү дагы бир суроого жооп берет: веб-сервер ошол суроо үчүн көргөн баштапкы дарек. Бул пайдалуу кайчылаш текшерүү, анткени ал UDP чагылдыргычынан башка протоколду жана көбүнчө башка барар жерди колдонот, ал эми экөөнүн ортосундагы айырмачылык адатта катага эмес, багыттоо эрежесине көрсөтөт.
Саясатты аныктаңыз, анан жоопту окуңуз
Сыноодон мурун ниетти жазып коюңуз: кайсы трафик туннелди колдонушу керек, кайсынысы түз чыга алат, кайсы дарек үй-бүлөлөрү камтылган, жана туннель өчкөндө эмне болушу керек. Ошол базалык сызыксыз ар бир байкоо эки маанилүү, анткени агып кетүүнү атайын уруксат берген жолдон ажырата албайсыз.
Анан бир убакта бир суроо бериңиз. Бул барар жер кайсы жолду алат. Бул чагылдыргыч кайсы даректи билдирет. Сессия кайсы талапкер жупту тандады. Жоопторду саясаттын жанында кармап, күнүн жазыңыз, анткени микропрограмма жаңыртуу өткөн жылкы тыянакты үнсүз жокко чыгара тургандай демейки жүрүм-турумду өзгөртүшү мүмкүн.
Маршрутизатор дагы эле күчтүү аткаруу чекити, анткени ал кардар өзүн кайра конфигурациялабай өтө албаган трафикти көрөт. Бул ар бир колдонмо протоколунун ар бир талаасы эч нерсе ачпайт деген убада эмес, жана уруксат берүүнү тандаган жолдорду жазып коюунун ордун баспайт.