Ko WebRTC kandidātu saraksts atklāj par jūsu VPN
Resursdatora, servera atstarojuma vai releja kandidāts norāda, no kurienes nāca adrese. Tik izvēlētais ICE pāris norāda, kuru ceļu plašsaziņas līdzekļi patiešām izmantoja.
Kad WebRTC testa lapa izdrukā 172.20.4.15, tā ir uzzinājusi, ka šajā tīklā pastāv lokāla saskarne. Tā ir īsta atklāšana, un tas nav tas pats secinājums kā «plašsaziņas līdzekļi izgāja pa VPN izeju». Kandidātu atklāšana un pakešu maršrutēšana ir atsevišķi mehānismi, un lielākā daļa noplūdes ziņojumu tos sapludina vienā spriedumā. Kuru no abiem jūs skatāties, tas nosaka labojumu.
Vākšana notiek pirms kaut kas tiek nosūtīts
Pārlūks uzskaita lokālās saskarnes, nosūta piesaistes pieprasījumu STUN serverim un pieprasa TURN serverim piešķīrumu, pēc tam ieraksta rezultātus sesijas aprakstā kā kandidātu rindas. Tas viss beidzas bez zvana, bez plašsaziņas līdzekļiem un bez sarunu biedra. Tāpēc kandidātu saraksts ir atklāšanas, nevis pārraides reģistrs.
Mūsdienu pārlūki var aizstāt resursdatora kandidāta burtisko adresi ar mDNS nosaukumu .local, tāpēc lapa nevar nolasīt privāto IP. Lokālais tīkls joprojām redz daudzraidījuma vaicājumus, kas atrisina šo nosaukumu, tātad adrese tiek slēpta no lietotnes, nevis izņemta no tīkla.
Arī secība ir svarīga: jauna lapas ielāde savāc jaunu kopu, ar citu TURN piešķīrumu un iespējams citu atstarojošu kartējumu. Divas neatbilstošas palaišanas nav obligāti divas dažādas konfigurācijas.
Trīs kandidātu veidi, trīs pierādījumu veidi
Katra rinda izriet no cita novērojuma. Katrs veids atbild uz citu jautājumu, un tabula tos šķir pēc tā, ko tie spēj un ko nespēj konstatēt.
| Candidate | Derived from | What it establishes | What it cannot establish |
|---|---|---|---|
| Host | An interface on the device | A local address exists in that network | That the peer can reach it |
| Server-reflexive | A STUN binding response | How a NAT mapped this source | Which exit the media will use |
| Peer-reflexive | A connectivity check that arrived | An address seen by the far side | That it was ever advertised |
| Relay | A TURN allocation | The relay server accepted the session | That the relay carries the call |
Releja kandidāts bieži tiek sajaukts ar lietotāja interneta adresi. Tas pieder TURN serverim, un tā klātbūtne liecina, ka relejs bija pieejams, nevis ka pārlūks to izvēlējās. Tā pati neskaidrība notiek pretējā virzienā ar resursdatora kandidātiem, kur mDNS nosaukums slēpj adresi no lapas, kamēr tīkls joprojām pārvadā vaicājumus. Lasiet veidu pirms lasāt vērtību.
Izvēlētais pāris atbild uz maršrutēšanas jautājumu
ICE sapāro katru lokālo kandidātu ar katru attālo, veic savienojamības pārbaudes katram pārim un izvirza uzvarētāju. Tas izvirzītais pāris, kas redzams paša pārlūka diagnostikā, pārvadā plašsaziņas līdzekļus. Viss pārējais sarakstā ir zaudējusi iespēja.
Uzvarētājs jums pasaka ceļa formu. Relejs uz releju iet caur TURN serveri, resursdatora pāris paliek lokālajā tīklā, un servera atstarojošais pāris iet tieši caur NAT. Tas ir fakts, kas vajadzīgs VPN pārbaudei, un tas ir cits fakts nekā adrešu saraksts. Divi zvani ar identiskiem kandidātu sarakstiem var izmantot dažādus pārus.
Neizvēlētie kandidāti tomēr tika savākti, un vākšana ir tīkla trafiks, kas atstāj iekārtu. Zvans, kas galu galā izmantoja releju, nenozīmē, ka saraksta veidošanas laikā nekas netika atklāts.
Vadīklas atbilst mērķiem, nevis noplūdes rezultātam
WebRTC IP apstrādes specifikācija apraksta vairākas politikas: izmantot tikai saskarni, kas nes noklusējuma maršrutu, izmantot visas saskarnes un izslēgt UDP bez starpnieka, lai trafikam būtu jāiet caur releju vai starpnieku. Katra apmaina savienojamību un aizturi pret cita veida pakļautību. Kuru pārlūks ievieš un ar kādu nosaukumu, atšķiras atkarībā no platformas un versijas.
Izvēlieties politiku pēc mērķa. Lokālo adrešu slēpšana no lapas ir viens mērķis; tiešas vienādranga trafika novēršana ir cits; katra paketes turēšana tunelī ir trešais. Pirmais galvenokārt attiecas uz to, ko uzzina lietotne, otrais uz to, kurš ceļš ir atļauts, un trešais ir jāīsteno arī platformas vai VPN robežā.
Lai kādu vadīklu jūs izvēlētos, pārbaudiet abas puses: palaidiet vākšanas testu un pierakstiet kandidātu veidus, pēc tam īstas sesijas laikā pārbaudiet izvēlēto pāri. Tīrs adrešu saraksts ar tiešu plašsaziņas līdzekļu ceļu joprojām ir ceļš, kuru jūs neplānojāt.