Portweiderleitung um Android-Hotspot: déi dräi Agäng

Dir hutt den Hotspot ageschalt, d’VPN verbonnen, e Port an der App opgemaach, an nach ëmmer kann dat anert Gerät sech net verbannen. De fehlenden Deel ass bal ni de Port selwer, mä d’Fro, wéi eng Maschinn de lauschende Socket huet a wéi eng Adress dat anert Gerät solle erreechen. Ech ginn vum Telefon no baussen, well den Ecran virun iech weist, wéi ee vun den dräi Agäng Dir tatsächlech testt.

Fänkt do un, wou den Déngscht wierklech leeft

Maacht d’App op, déi d’Verbindung soll unhuelen, a liest hir Statusäit. Wann do steet, si lauschtert, notéiert d’Adress, un déi si gebonnen ass, well dës eenzeg Detail decidéiert déi meescht Fäll hei drënner. Eng App, déi un 127.0.0.1 gebonnen ass, ass nëmmen vum Telefon aus erreechbar, an do hëlleft weder en Hotspot-Client nach eng Operateur-Mappung nach en VPN-Ausgang.

Bestätegt duerno, wéi en Apparat den Déngscht bedreift. Ass et den Telefon, gehéiert de Socket zu där App; ass et e Laptop hannert dem Hotspot, gehéieren de Lauschterer an seng Firewall zum Laptop an den Telefon leet just Pakete weider. Dat sinn zwee verschidde Konzepter, an hir Vermeschung ass de Grond, firwat e Port, deen op enger Plaz opgemaach gouf, op enger anerer näischt mécht.

An engem Build, deen een debugge kann, listet adb shell Sockets iwwer /proc/net/tcp, mä fir déi meescht Leit ass den eegene Status vun der App déi éierlech Quell.

Éischten Agang: en anert Gerät um Hotspot

Dëst ass de lokale Fall an den einfachsten. Dat anert Gerät erreecht den Telefon op der Adress, déi et als säi Gateway gesäit, op dem Port, op deem d’App lauschtert, an näischt baussent dem Hotspot hëlleft mat. Eng Operateur-Mappung ass net néideg, well den Trafick de lokale Segment ni verléisst.

Zwee Saachen zerbriechen dat: d’App ass un Loopback gebonnen, oder d’Client-Politik um Telefon erlaabt d’lokal Verbindung net. Testt mam eegene Protokoll vun der App an net mat engem puren TCP, well en Apparat, dee lauschtert an duerno ofleeint, aus der Distanz wéi en zouenen Port ausgesäit.

Wann den Déngscht op engem ugeschlossene Laptop leeft, ass d’Hotspot-Adress vum Telefon guer net d’Zil; Dir braucht d’Adress vum Laptop um Hotspot-Interface an do en Apparat dee lauschtert.

Zweete Agang: de Wee iwwer den Operateur

Den Telefon aus dem Mobilnetz z’erreechen ass en anere Problem, an fir IPv4 funktionéiert et meeschtens simply net. D’Operateure setzen d’Geräter hannert eng gedeelt Iwwersetzung, a dofir hält RFC 6598 genee fir esou eng Opstellung e gedeelte Adressberäich fräi. Eng ongefrote erakommend Verbindung huet keng Mappung, duerch déi se ukënnt, an keng lokal Konfiguratioun erstellt eng, well den Iwwersetzer net Ären Apparat ass.

Root-Zougrëff ännert dat och net; en gëtt Kontroll iwwer den Stack vum Telefon, net iwwer den Iwwersetzer vum Operateur. Wou den Operateur e ëffentlecht IPv6-Präfix ubitt, kann en erakommende Wee existéieren, mä de Lauschterer an d’Firewall brauchen ëmmer nach eng bewosst Erlabnes.

Drëtten Agang: den Ausgang vum VPN

D’Adress, déi eng Websäit mellt, wärend den Tunnel op ass, ass d’Ausgangsadress fir de bedeckten erausgoende Trafick. Et ass keng Adress, déi erakommend Verbindungen an Ärem Numm unhëlt. Fir se no bannen ze benotzen, braucht et eng Funktioun, déi den Ubielder wierklech ubitt, wéi e virugeleeten Port, plus e brauchbare Wee vum Ausgang bis zum Client.

Eng lokal Erlabnesregel kann déi Mappung net fabrizéieren. Wat se mécht, ass de Wee ze änneren, deen d’Äntwerten vun der App huelen, an dat zielt, wann d’App vum Tunnel ausgeschloss ass: d’Ufro an d’Äntwert kënnen an ënnerschiddleche Netzwierkkontexter landen an d’Verbindung feelt wéi e Firewall-Problem.

Testt ee Wee vum Ufank bis zum Enn, dann nennt den Eegentemer

Schreift den Tuupel virum Test op: virgesinn Quell, Ziladress, Transport, Port an d’Maschinn, déi de lauschende Socket huet. Wann en Element eng Vermutung ass, seet den Test iech näischt Nëtzlech.

Testt duerno deen een eenzegen erlaabten Wee mam intakten Authentifikatioun vun der App. Veröffentlicht kee breeden Apparat dee lauschtert a schalt keng onverbonne Kontrollen aus just fir eng zweedeiteg Adressprüfung ze beäntweren, well béid Ännerungen den Test iwwerliewe.

Den Tethering-Subsystem vun Android schéckt den erofgehenden Trafick op sengem eegene Wee, getrennt vun der gewéinlecher VPN-Erfaassung, dofir seet e Browser, deen op engem ugeschlossene Laptop leeft, näischt iwwer den erakommenden Zougrëff op en Déngscht um Telefon. Ier Dir sot, et funktionéiert:

• De Lauschterer ass op enger Adress, déi déi aner Säit erreeche kann, net op Loopback.
• Déi aner Säit benotzt d’Adress vun deem Agang, net d’Ausgangsadress vun enger Statusäit.
• All Mappung beim Operateur oder Ubielder ass eng ënnerstëtzte Funktioun, net eng Regel, déi Dir lokal bäigefüügt hutt.
• Ufro an Äntwert ginn duerch dee selwechten Netzwierkkontext, an d’Authentifikatioun geet nach duerch.