Wat eng STUN-Antwert verroden, wann de VPN um Router leeft
D’Tunneladress vum Router ass net d’lokal Adress vum Browser. Verfollegt wéi all Ufro geroutet an iwwersat gëtt, ier Dir liest wat e Reflektor meldet.
Wann den Tunnel um Router wunnt, huet d’Maschinn déi de Browser lafe léisst guer keng Tunnelschnittstell. Frot déi Maschinn no hire lokalen Adressen an Dir kritt eng privat LAN-Adress an eng Loopback, näischt wat enger VPN-Adress gläicht. Trotzdem kann en STUN-Server op der anerer Säit nach ëmmer eppes Bedeitungsvolles iwwer de Wee mellen, an wat hie mellt hänkt komplett dovun of wéi déi konkreet Ufro geroutet an iwwersat gouf.
Dat ass deen Deel wou et sech lount méi lues ze maachen. „De Browser besëtzt d’VPN-Adress net“ äntwert op eng Fro iwwer Schnittstellen, während eng reflektéiert Adress eng Äntwert iwwer e Wee duerch Iwwersetzung ass. Béides ze vermëschen erzeiht selbstsécher Conclusiounen iwwer Offenbarung déi d’Beweiser net stäipen.
Zwee Geräter, zwee Sätz Schnittstellen
An enger routerbaséierter Opstellung endet den Tunnel um Router an de LAN-Client schéckt gewéinlechen Traffic un säi Standard-Gateway. D’Interface-Lëscht vum Client bleift kuerz: eng privat Adress, vläicht eng zweet fir en anert Netzwierk, an d’Loopback. De Risiko ass net datt eng dovun zoufälleg d’Tunneladress ass; de Risiko ass datt d’Ufro iwwer e Wee erausgeet deen Dir net gewielt hutt.
Frot de Client wéi ee Wee en bestëmmten Zil huelen géif amplaz ze froen wéi eng Schnittstellen et gëtt. D’Äntwert nennt e Gateway an d’Quelladress déi de Kernel géif benotzen, an dat ass schonn informative wéi all Adressopstellung.
ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ipsDokumentatiounsberäicher sinn gutt Testziler well se sech ni an en echte Service opléisen. Vergläicht wat de Client seet mat wat de Router seet, a behandelt all Onstëmmegkeet als Beweis datt Policy-Routing, eng Split-Tunnel-Regel oder eng zweet Standardroute eppes mécht wat Dir net agesat hutt.
Wat eng Binding-Antwert soe meng
RFC 8489 definéiert d’Binding-Ufro an -Äntwert, woubäi de Server déi observéiert Quelltransportadress fir déi Ufro mellt. Dat ass eng Ausso iwwer ee Quintupel zu engem Zäitpunkt, net eng Vollekszielung vun de Client-Schnittstellen. Dofir geschitt alles Interessantes tëschent dem Client an dem Observatiounspunkt.
Déi Lück fëllen Routing an Iwwersetzung. En Router deen ausgänglechen Traffic mat Quell-NAT iwwersetzt, ersetzt dem Client seng privat Quell duerch seng eegen Adress op der ausgänglecher Schnittstell. Wann déi Schnittstell den Tunnel ass, gesäit de Reflektor d’Tunneladress. Wann de Paket vum Tunnel ausgeschloss gouf, gesäit de Reflektor wat d’WAN-Iwwersetzung produzéiert huet. Selwechte Client, selwechte Reflektor, aner Äntwert.
Dräi Fäll déi gläich ausgesinn an et net sinn
D’nëtzlech Ënnerscheedung ass net ëffentlech géint privat, mä wéi en Duerchsetzungspunkt de Paket behandelt huet. Schafft d’Fäll duerch mat de Router sengen eegenen Tabellen op, well ee Browser kann all dräi produzéieren ofhängeg vun enger Regel déi Dir vergiess hutt ze schreiwen.
| Where the request leaves | What rewrites the source | What the reflector reports |
|---|---|---|
| Tunnel interface on the router | Router NAT towards the tunnel address | The tunnel address as seen on that path |
| WAN interface, excluded by policy | Ordinary WAN translation | The public WAN address |
| Private reflector reached through the tunnel route | Router NAT towards the tunnel address | An internal identifier valid only inside that path |
Nëmmen den zweete Fall verletzt d’Fuerderung datt e gewëssen Traffic ni direkt erausgeet, an nëmmen deen éischten an den drëtten offenbare en Identifkator vun der Tunnelsäit. Keng vun den dräi Zeilen ass eng Ausso iwwer d’Verhalen vun engem bestëmmten Ubieder: ob ee private Reflektor iwwerhaapt erreechbar ass hänkt vum Routing, vun den erlaabten IP-Adressen vun der anerer Säit an der Firewall-Politik op béide Säiten of.
E Kont beim selwechten Ubieder ze hunn beweist näischt dovun. Et ass och wäert sech ze erënneren datt eng gerout Ufro d’LAN-Quell vum Client ka behalen wann näischt se iwwersetzt, dofir muss d’Quellfeld verfollegt ginn an net aus dem Topologie-Diagramm ugeholl ginn.
Sammelen ass net auswielen
WebRTC sammelt Kandidatadressen zum Ausprobéieren, an e Kandidat deen an enger diagnostescher Lëscht erschéngt dréit vläicht ni Medien. D’Lëscht ze liesen als „dat ass wat déi aner Säit geléiert huet“ iwwerhëlt d’Beweiser. Dat gewielte Pair ass dat wat d’Sessioun tatsächlech gedroen huet, an et wunnt an engem aneren Feld.
En HTTPS-Erausgangsprüfer äntwert nach eng aner Fro: d’Quelladress déi e Webserver fir déi Ufro gesinn huet. Et ass eng nëtzlech Kräizprüfung just well en anert Protokoll an dacks en anert Zil wéi en UDP-Reflektor benotzt, an eng Onstëmmegkeet tëschent deenen zwee weist meeschtens op eng Routing-Regel an net op e Fehler.
Bestëmmt d’Politik, liest dann d’Äntwert
Schreift d’Absicht virum Testen op: wéi en Traffic muss den Tunnel benotzen, wéi en däerf direkt erausgoen, wéi eng Adressfamilljen am Kader sinn, a wat soll geschéien wann den Tunnel erof ass. Ouni déi Basislinie ass all Observatioun zweedeiteg, well Dir e Lach net vun engem Wee kënnt trennen deen Dir bewosst erlaabt hutt.
Stellt dann eng Fro op eng Kéier. Wéi ee Wee hëlt dëst Zil. Wéi eng Adress mellt dëse Reflektor. Wéi ee Kandidatpair huet d’Sessioun gewielt. Hält d’Äntwerten nieft der Politik a datéiert se, well eng Firmware-Aktualiséierung d’Standardverhalen op eng Manéier ännere kann déi d’Conclusioun vum leschte Joer stëll ustëmmt.
De Router ass nach ëmmer en staarken Duerchsetzungspunkt, well en Traffic gesäit deen e Client net ëmgoe kann ouni sech selwer nei ze konfiguréieren. Et ass kee Verspriechen datt all Feld an all Uwendungsprotokoll näischt offenbart, an et ersetzt net d’Weeër opzeschreiwen déi Dir gewielt hutt z’erlaben.