Alamat sumber manakah yang dilihat STUN dengan VPN pada penghala?
Laluan, pemilihan sumber dan terjemahan menentukan alamat yang dilaporkan pemantul. Tiga fakta untuk dicatat, kemudian satu pertanyaan untuk mengesahkan laluan mana yang menang.
Soalan ini kedengaran seperti satu carian dan sebenarnya tiga keputusan. Laluan mana yang diambil binding request, sumber mana yang dipilih kernel untuk laluan itu, dan sama ada sesuatu di sepanjang jalan menulis semula sumber itu. Tukar mana-mana satu daripadanya dan alamat yang dilaporkan pelayan STUN turut berubah. Sebab itulah kenyataan bahawa VPN berada pada penghala hampir tidak menjelaskan apa-apa secara sendiri.
Keputusan bergantung pada tiga fakta
Pertama laluan: peraturan dasar dan jadual penghalaan menentukan sama ada permintaan keluar melalui terowong atau melalui WAN biasa, dan destinasi yang dikecualikan mengambil laluan kedua walaupun terowong aktif. Kedua sumber: kernel memilih sumber untuk laluan yang dipilih, dan pilihan itu bergantung pada sumber pilihan laluan dan pada mana-mana peraturan yang sepadan. Ketiga terjemahan: NAT di sepanjang jalan menggantikan sumber yang dipilih. Alamat yang dipantulkan ialah hasil darab ketiga-tiganya, bukan sifat terowong.
Tukar satu daripada tiga dan jawapannya berubah, sementara setiap komponen masih kelihatan sihat dalam lognya sendiri. Itulah sebab biasa diagnosis ini terhenti.
Catat ketiga-tiga fakta untuk aliran yang anda uji sebelum bermula. Antara muka, laluan dan peraturan terjemahan cukup untuk meramalkan hasilnya, dan ramalan itulah yang menjadikan kejutan bermaklumat. Jika anda tidak dapat mengisi satu daripada tiga, jurang itulah penemuan sebenar.
Ikut satu binding request sepanjang laluan
Satu binding request STUN meminta pelayan melaporkan alamat pengangkutan sumber yang diperhatikannya. Jawapannya menerangkan laluan yang diambil permintaan, bukan inventori antara muka pada mesin klien. Dua permintaan melalui dua laluan akan melaporkan dua alamat berbeza dengan jujur.
| Path taken | Source the reflector sees | What it means |
|---|---|---|
| Tunnel to a public exit that translates | The exit's public address | The reflector learns nothing about the LAN |
| Tunnel to a private reflector, translated to the tunnel address, no later translation | That tunnel address | An internal identifier is disclosed to that reflector |
| Excluded flow over the ordinary WAN | The WAN address | The tunnel was not used at all |
Baca jadual itu sebagai satu set syarat, bukan menu penyedia. Baris tengah menuntut pemantul peribadi boleh dicapai di bawah penghalaan dan dasar rakan terowong itu sendiri; itu fakta konfigurasi yang boleh anda sahkan, bukan sesuatu yang tersirat oleh tahap akaun. Baris bawah biasanya yang penting untuk dasar, kerana trafik itu sepatutnya kekal di dalam terowong. Di antara keduanya terletak kes biasa, apabila pintu keluar menterjemah dan pemantul hanya melihat pintu keluar.
Calon hos dan calon pantulan sisi pelayan datang daripada mekanisme berbeza, jadi senarai calon tidak menyatakan laluan mana yang benar-benar digunakan media. Baca pasangan yang dipilih, bukan log pengumpulan, apabila ingin tahu ke mana sesi pergi.
Apa yang bukan alamat terowong penghala
Alamat terowong yang diberikan kepada penghala milik satu antara muka pada penghala. Pelayar pada hos LAN mempunyai alamat antara muka sendiri dan tidak melihat antara muka terowong penghala secara langsung. Menganggap kedua-duanya boleh ditukar ganti menghasilkan jawapan salah yang yakin tentang apa yang boleh dipelajari halaman web.
Penghantaran ialah yang menghubungkan kedua-duanya. Permintaan melintasi penghala sebagai trafik yang dihalakan, dan sumbernya ialah apa yang dihasilkan penghalaan dan terjemahan.
Jika laluan terowong mengekalkan sumber LAN, pemantul peribadi boleh mempelajari alamat LAN itu, yang merupakan pendedahan sebenar dan berbeza daripada alamat terowong. Jika laluan menterjemah ke alamat terowong, pemantul mempelajari alamat terowong sebagai gantinya. Kedua-dua hasil konsisten dengan pelayar yang sama pada hos yang sama, sebab itu pemerhatian mesti diikat pada aliran tertentu. Tanya kernel sumber mana yang akan digunakannya sebelum menyalahkan aplikasi.
Pendedahan berbanding pintasan: dua penemuan, dua pembaikan
Alamat terowong yang dipantulkan mendedahkan pengecam dalaman melalui laluan yang anda benarkan. Permintaan terus melalui WAN memintas laluan yang anda mahu wajibkan. Yang pertama soal maklumat, yang kedua soal penguatkuasaan, dan kedua-duanya dibaiki di tempat berbeza. Menggabungkan kedua-duanya dalam satu perkataan menghasilkan pembaikan yang tidak menangani mana-mana satu.
WebRTC menjadikan ini lebih kelihatan tanpa menjadikannya salah, kerana mengumpul calon tidak sama dengan memilihnya.
ip route get 203.0.113.7 from 192.0.2.25
ip rule showJalankan pertanyaan laluan untuk setiap alamat pemantul yang anda benarkan, dengan sumber yang anda jangkakan dibawa aliran itu, kemudian jalankan lagi untuk julat yang dikecualikan untuk melihat apa yang dipilih pilihan sandaran. Bandingkan kedua-dua jawapan dengan dasar yang anda catat. Apabila kedua-duanya berbeza dengan cara yang tidak anda maksudkan, anda telah menemui titik pembaikan tanpa perlu mentafsir senarai calon pelayar langsung.