Apa yang Didedahkan Senarai Calon WebRTC tentang VPN Anda
Calon hos, pantulan pelayan atau geganti memberitahu dari mana sesuatu alamat datang. Hanya pasangan ICE yang dipilih memberitahu laluan mana yang benar-benar digunakan oleh media.
Apabila halaman ujian WebRTC mencetak 172.20.4.15, ia telah mengetahui bahawa terdapat antara muka setempat pada rangkaian itu. Itu pendedahan sebenar, dan ia bukan penemuan yang sama dengan «media keluar melalui pintu keluar VPN». Penemuan calon dan penghalaan paket ialah mekanisme berasingan, dan kebanyakan laporan kebocoran menggabungkannya menjadi satu keputusan. Yang mana sedang anda lihat itulah yang menentukan pembaikan.
Pengumpulan berlaku sebelum apa-apa dihantar
Pelayar menyenaraikan antara muka setempat, menghantar permintaan pengikatan kepada pelayan STUN dan meminta peruntukan daripada pelayan TURN, kemudian menulis hasilnya dalam perihalan sesi sebagai baris calon. Semua itu selesai tanpa panggilan, tanpa media dan tanpa rakan sejawat. Jadi senarai calon ialah rekod penemuan, bukan pengangkutan.
Pelayar moden boleh menggantikan alamat literal calon hos dengan nama mDNS .local, jadi halaman tidak dapat membaca IP persendirian. Rangkaian setempat masih melihat pertanyaan multicast yang menyelesaikan nama itu, jadi alamat itu disembunyikan daripada aplikasi dan bukan dikeluarkan daripada rangkaian.
Urutan juga penting: pemuatan halaman baharu mengumpul set baharu, dengan peruntukan TURN berbeza dan mungkin pemetaan pantulan berbeza. Dua jalanan yang berbeza tidak semestinya dua konfigurasi berbeza.
Tiga jenis calon, tiga jenis bukti
Setiap baris berasal daripada pemerhatian berbeza. Setiap jenis menjawab soalan berbeza, dan jadual memisahkan mereka mengikut apa yang boleh dan tidak boleh dibuktikan.
| Candidate | Derived from | What it establishes | What it cannot establish |
|---|---|---|---|
| Host | An interface on the device | A local address exists in that network | That the peer can reach it |
| Server-reflexive | A STUN binding response | How a NAT mapped this source | Which exit the media will use |
| Peer-reflexive | A connectivity check that arrived | An address seen by the far side | That it was ever advertised |
| Relay | A TURN allocation | The relay server accepted the session | That the relay carries the call |
Calon geganti sering disalah anggap sebagai alamat internet pengguna. Ia milik pelayan TURN, dan kehadirannya menunjukkan geganti tersedia, bukan bahawa pelayar memilihnya. Kekeliruan yang sama berlaku ke arah bertentangan dengan calon hos, di mana nama mDNS menyembunyikan alamat daripada halaman sementara rangkaian masih membawa pertanyaan. Baca jenis sebelum membaca nilai.
Pasangan yang dipilih menjawab soalan penghalaan
ICE memasangkan setiap calon setempat dengan setiap calon jauh, menjalankan pemeriksaan kesambungan pada setiap pasangan dan menamakan pemenang. Pasangan yang dinamakan itu, yang kelihatan dalam diagnostik pelayar sendiri, membawa media. Segala-galanya dalam senarai ialah kemungkinan yang tewas.
Pemenang memberitahu anda bentuk laluan. Geganti ke geganti melalui pelayan TURN, pasangan hos kekal pada rangkaian setempat, dan pasangan pantulan pelayan pergi terus melalui NAT. Itulah fakta yang diperlukan oleh pemeriksaan VPN, dan ia fakta berbeza daripada senarai alamat. Dua panggilan dengan senarai calon yang sama boleh mengambil pasangan berbeza.
Calon yang tidak dipilih tetap dikumpulkan, dan pengumpulan ialah trafik rangkaian yang keluar daripada mesin. Panggilan yang akhirnya menggunakan geganti tidak bermakna tiada apa-apa didedahkan semasa senarai dibina.
Kawalan sepadan dengan matlamat, bukan skor kebocoran
Spesifikasi pengendalian IP WebRTC menerangkan beberapa dasar: menggunakan hanya antara muka yang membawa laluan lalai, menggunakan semua antara muka, dan mematikan UDP tanpa proksi supaya trafik mesti melalui geganti atau proksi. Setiap satu menukar kesambungan dan kependaman dengan jenis pendedahan yang berbeza. Yang mana dilaksanakan oleh pelayar, dan dengan nama apa, berbeza mengikut platform dan versi.
Pilih dasar berdasarkan matlamat. Menyembunyikan alamat setempat daripada halaman ialah satu matlamat; menghalang trafik rakan ke rakan secara terus ialah satu lagi; menyimpan setiap paket di dalam terowong ialah yang ketiga. Yang pertama terutamanya tentang apa yang dipelajari aplikasi, yang kedua tentang laluan mana yang dibenarkan, dan yang ketiga mesti dikuatkuasakan juga di sempadan platform atau VPN.
Apa pun kawalan yang anda pilih, sahkan kedua-dua bahagian: jalankan ujian pengumpulan dan catat jenis calon, kemudian periksa pasangan yang dipilih semasa sesi sebenar. Senarai alamat yang bersih dengan laluan media terus masih merupakan laluan yang tidak anda maksudkan.