Kādu avota adresi redz STUN ar VPN maršrutētājā?
Maršruts, avota izvēle un tulkošana nosaka adresi, ko ziņo atstarotājs. Trīs fakti, ko pierakstīt, pēc tam viens vaicājums, lai apstiprinātu, kurš ceļš uzvar.
Jautājums izklausās kā viena pārbaude, bet patiesībā tie ir trīs lēmumi. Kuru maršrutu izvēlēsies binding request, kādu avotu kodols izvēlēsies šim maršrutam un vai kaut kas ceļā pārrakstīs šo avotu. Nomainiet jebkuru no trim — un adrese, ko ziņo STUN serveris, mainīsies kopā ar to. Tāpēc apgalvojums, ka VPN atrodas uz maršrutētāja, pats par sevi gandrīz neko nepasaka.
Lēmums balstās uz trim faktiem
Pirmkārt, maršruts: politikas noteikumi un maršrutēšanas tabula izlemj, vai pieprasījums izies caur tuneli vai parasto WAN, un izslēgtais galamērķis izvēlas otro ceļu arī tad, kad tunelis ir aktīvs. Otrkārt, avots: kodols izvēlas avotu izvēlētajam maršrutam, un šī izvēle ir atkarīga no maršruta vēlamā avota un no jebkura atbilstošā noteikuma. Treškārt, tulkošana: NAT ceļā aizstāj izvēlēto avotu. Atstarotā adrese ir visu trīs reizinājums, nevis tuneļa īpašība.
Nomainiet vienu no trim — un atbilde mainīsies, kamēr katrs komponents savā žurnālā joprojām izskatās vesels. Tas ir parastais iemesls, kāpēc šī diagnostika iestājas.
Pierakstiet trīs faktus par plūsmu, kuru testējat, pirms sākat. Saskarnes, maršruta un tulkošanas noteikuma pietiek, lai prognozētu rezultātu, un tieši prognoze padara pārsteigumu informatīvu. Ja kādu no trim nevarat aizpildīt, šī plaisa ir īstais atradums.
Sekojiet vienam binding request pa ceļu
STUN binding request lūdz serveri ziņot novēroto avota transporta adresi. Atbilde apraksta ceļu, ko pieprasījums nogāja, nevis saskarņu sarakstu klienta mašīnā. Divi pieprasījumi pa diviem ceļiem godīgi ziņos divas dažādas adreses.
| Path taken | Source the reflector sees | What it means |
|---|---|---|
| Tunnel to a public exit that translates | The exit's public address | The reflector learns nothing about the LAN |
| Tunnel to a private reflector, translated to the tunnel address, no later translation | That tunnel address | An internal identifier is disclosed to that reflector |
| Excluded flow over the ordinary WAN | The WAN address | The tunnel was not used at all |
Lasiet šo tabulu kā nosacījumu kopumu, nevis kā pakalpojumu sniedzēju izvēlni. Vidējā rinda prasa, lai privātais atstarotājs būtu sasniedzams tuneļa paša maršrutēšanā un peer politikā; tas ir konfigurācijas fakts, ko varat pārbaudīt, nevis kaut kas, ko nozīmē konta līmenis. Apakšējā rinda parasti ir svarīga politikai, jo šim trafikam bija jāpaliek tunelī. Starp tām ir parastais gadījums, kad izeja tulko un atstarotājs redz tikai izeju.
Resursdatora kandidāti un servera-refleksīvie kandidāti rodas no dažādiem mehānismiem, tāpēc kandidātu saraksts nepauž, kuru ceļu mediji faktiski izmantoja. Lasiet izvēlēto pāri, nevis vākšanas žurnālu, ja vēlaties zināt, kur devās sesija.
Kas maršrutētāja tuneļa adrese nav
Maršrutētājam piešķirtā tuneļa adrese pieder saskarnei uz maršrutētāja. Pārlūkprogramma LAN resursdatorā ir ar savām saskarņu adresēm un tieši neredz maršrutētāja tuneļa saskarni. Ja ar abām izturas kā ar aizvietojamām, rodas pārliecinātas nepareizas atbildes par to, ko var uzzināt tīmekļa lapa.
Pārsūtīšana ir tas, kas tos savieno. Pieprasījums šķērso maršrutētāju kā maršrutēts trafiks, un tā avots ir tas, ko radīja maršrutēšana un tulkošana.
Ja tuneļa ceļš saglabā LAN avotu, privātais atstarotājs var uzzināt šo LAN adresi, kas ir īsta atklāšana un atšķiras no tuneļa adreses. Ja ceļš tulko uz tuneļa adresi, atstarotājs tā vietā uzzina tuneļa adresi. Abi iznākumi atbilst tai pašai pārlūkprogrammai tajā pašā resursdatorā, tāpēc novērojums ir jāsaista ar konkrētu plūsmu. Pajautājiet kodolam, kuru avotu tas izmantotu, pirms vainojat lietojumprogrammu.
Atklāšana pret apiešanu: divi atradumi, divi labojumi
Atstarotā tuneļa adrese atklāj iekšēju identifikatoru ceļā, kuru atļāvāt. Pieprasījums tieši pa WAN apiet ceļu, kuru gribējāt pieprasīt. Pirmais ir informācijas jautājums, otrais — izpildes jautājums, un tie tiek laboti dažādās vietās. Ja tos sapludina vienā vārdā, iegūst labojumu, kas nerisina nevienu no tiem.
WebRTC padara to redzamāku, nepadarot to nepareizu, jo kandidāta savākšana nav tas pats, kas tā izvēle.
ip route get 203.0.113.7 from 192.0.2.25
ip rule showPalaidiet maršruta vaicājumu katram atļautajam atstarotāja adresei ar avotu, kuru, jūsuprāt, nesīs šī plūsma, pēc tam palaidiet to vēlreiz izslēgtajiem diapazoniem, lai redzētu, ko izvēlas rezerves variants. Salīdziniet abas atbildes ar politiku, ko pierakstījāt. Kad tās atšķiras tā, kā neesat paredzējis, esat atradis labošanas punktu, pat neinterpretējot pārlūkprogrammas kandidātu sarakstu.