X’jiżvela tweġiba STUN meta l-VPN taħdem fuq ir-router
L-indirizz tat-tunnel tar-router mhuwiex l-indirizz lokali tal-browser. Segwi kif kull talba tiġi direzzjonata u tradotta qabel taqra x’jirrapporta riflettur.
Meta t-tunnel jgħix fuq ir-router, il-magna li taħdem il-browser m’għandhiex interface tat-tunnel xejn. Staqsi lil dik il-magna dwar l-indirizzi lokali tagħha u tikseb indirizz LAN privat u linja ta’ dawrien, xejn li jixbah indirizz VPN. Madankollu, server STUN in-naħa l-oħra xorta jista’ jirrapporta xi ħaġa sinifikanti dwar it-triq, u dak li jirrapporta jiddependi għal kollox fuq kif dik it-talba partikulari ġiet direzzjonata u tradotta.
Dan huwa l-parti li tistħoqqlha tninqas il-veloċità. „Il-browser ma jippossjedix l-indirizz VPN“ iwieġeb mistoqsija dwar interfaces, filwaqt li indirizz rifless huwa tweġiba dwar triq permezz ta’ traduzzjoni. Li tħallat it-tnejn tipproduċi konklużjonijiet kunfidenti dwar żvelar li l-evidenza ma tappoġġjax.
Żewġ apparati, żewġ settijiet ta’ interfaces
F’konfigurazzjoni bbażata fuq router it-tunnel jispiċċa fuq ir-router u l-klijent LAN jibgħat traffiku ordinarju lill-gateway awtomatiku tiegħu. Il-lista tal-interfaces tal-klijent tibqa’ qasira: indirizz privat wieħed, forsi ieħor għal network ieħor, u l-linja ta’ dawrien. Ir-riskju mhuwiex li wieħed minnhom ikun b’kumbinazzjoni l-indirizz tat-tunnel; ir-riskju huwa li t-talba toħroġ minn triq li ma għażiltx.
Staqsi lill-klijent liema triq tieħu destinazzjoni partikulari minflok ma tistaqsi liema interfaces jeżistu. It-tweġiba ssemmi gateway u l-indirizz tas-sors li l-qalba tuża, u dan huwa diġà aktar informattiv minn kwalunkwe inventarju ta’ indirizzi.
ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ipsIl-firxiet tad-dokumentazzjoni huma destinazzjonijiet tajbin għall-prova għax qatt ma jiġu riżolti f’servizz reali. Qabbel dak li jgħid il-klijent ma’ dak li jgħid ir-router, u qis kull nuqqas ta’ qbil bħala prova li r-routing tal-politika, regola ta’ tunnel maqsum jew it-tieni rotta awtomatika qed tagħmel xi ħaġa li ma qistx.
X’tista’ tgħid tweġiba Binding
RFC 8489 jiddefinixxi t-talba u t-tweġiba Binding, fejn is-server jirrapporta l-indirizz tat-trasport tas-sors li osserva għal dik it-talba. Hija dikjarazzjoni dwar ħamsija waħda f’mument wieħed, mhux ċensiment tal-interfaces tal-klijent. Għalhekk kulma huwa interessanti jiġri bejn il-klijent u l-punt tal-osservazzjoni.
Dan il-vojt jimtela bir-routing u t-traduzzjoni. Router li jagħmel NAT tas-sors fuq traffiku ħiereġ jissostitwixxi s-sors privat tal-klijent bl-indirizz tiegħu stess fuq l-interface ħierġa. Jekk dik l-interface hija t-tunnel, ir-riflettur jara l-indirizz tat-tunnel. Jekk il-pakkett ġie eskluż mit-tunnel, ir-riflettur jara dak li pproduċiet it-traduzzjoni tal-WAN. L-istess klijent, l-istess riflettur, tweġiba differenti.
Tliet każi li jixbhu u mhumiex
Id-distinzjoni utli mhijiex pubbliku kontra privat, iżda liema punt ta’ infurzar ittratta l-pakkett. Aħdem il-każi bit-tabelli tar-router stess miftuħa, għax browser wieħed jista’ jipproduċi t-tlieta skont regola li insejt li ktibt.
| Where the request leaves | What rewrites the source | What the reflector reports |
|---|---|---|
| Tunnel interface on the router | Router NAT towards the tunnel address | The tunnel address as seen on that path |
| WAN interface, excluded by policy | Ordinary WAN translation | The public WAN address |
| Private reflector reached through the tunnel route | Router NAT towards the tunnel address | An internal identifier valid only inside that path |
Biss it-tieni każ jikser il-ħtieġa li ċertu traffiku qatt ma joħroġ direttament, u biss l-ewwel u t-tielet jiżvelaw identifikatur min-naħa tat-tunnel. L-ebda waħda mit-tliet ringieli mhija dikjarazzjoni dwar l-imġiba ta’ fornitur partikulari: jekk riflettur privat huwiex aċċessibbli xejn jiddependi mir-routing, mill-indirizzi IP permessi tan-naħa l-oħra u mill-politika tal-firewall fiż-żewġ trufijiet.
Li jkollok kont mal-istess fornitur ma jistabbilixxi xejn minn dan. Ta’ min wieħed jiftakar ukoll li talba direzzjonata tista’ żżomm is-sors LAN tal-klijent jekk xejn ma jittraduċih, għalhekk il-qasam tas-sors irid jiġi traċċat u mhux preżunt mid-dijagramma tat-topoloġija.
Il-ġbir mhuwiex għażla
WebRTC jiġbor indirizzi kandidati biex jiġu provati, u kandidat li jidher f’lista dijanjostika jista’ qatt ma jġorr midja. Li taqra l-lista bħala „dan huwa dak li tgħallem in-naħa l-oħra“ tissopravaluta l-evidenza. Il-par magħżul huwa dak li fil-fatt ġarrab is-sessjoni, u jgħix f’qasam ieħor.
Verifikatur tal-ħruġ HTTPS iwieġeb mistoqsija oħra: l-indirizz tas-sors li server web ra għal dik it-talba. Hija verifika inkroċjata utli proprju għax tuża protokoll differenti u spiss destinazzjoni differenti minn riflettur UDP, u nuqqas ta’ qbil bejn it-tnejn normalment jindika regola ta’ routing aktar milli bug.
Iddeċiedi l-politika, imbagħad aqra t-tweġiba
Ikteb l-intenzjoni qabel ma tittestja: liema traffiku għandu juża t-tunnel, liema jista’ joħroġ direttament, liema familji ta’ indirizzi huma fl-ambitu, u x’għandu jiġri meta t-tunnel ikun nieqes. Mingħajr dik il-linja bażi kull osservazzjoni hija ambigwa, għax ma tistax tifred tixrid minn triq li intenzjonalment ħallejt.
Imbagħad staqsi mistoqsija waħda kull darba. Liema triq tieħu din id-destinazzjoni. Liema indirizz jirrapporta dan ir-riflettur. Liema par kandidat għażlet is-sessjoni. Żomm it-tweġibiet ħdejn il-politika u għaddihom id-data, għax aġġornament tal-firmware jista’ jbiddel l-imġiba awtomatika b’modi li jikkancellaw bil-kwiet il-konklużjoni tas-sena l-oħra.
Ir-router għadu punt ta’ infurzar b’saħħtu, għax jara traffiku li klijent ma jistax jevita mingħajr ma jerġa’ jikkonfigura lilu nnifsu. Mhuwiex wegħda li kull qasam f’kull protokoll tal-applikazzjoni ma jiżvela xejn, u mhuwiex sostitut għall-kitba tat-toroq li għażilt li tippermetti.