د STUN ځواب څه ښکاره کوي کله چې VPN پر روټر چلیږي
د روټر د تونل پته د براوزر محلي پته نه ده۔ مخکې لدې چې ولولئ یو انعکاس کوونکی څه راپور ورکوي، تعقیب کړئ چې هره غوښتنه څنګه لارښوونه او ژباړل کیږي۔
کله چې تونل پر روټر وي، هغه ماشین چې براوزر چلوي هېڅ د تونل انټرفېس نلري۔ له هغه ماشین څخه د هغه محلي پتې وپوښتئ او تاسو ته یو شخصي LAN پته او یو بېرته ګرځېدونکی لاره ترلاسه کوئ، هېڅ د VPN پتې ته ورته نه۔ سره لدې، د بلې خوا STUN سرور لا هم کولای شي د لارې په اړه یو څه معنا لرونکې راپور ورکړي، او هغه څه چې راپور ورکوي په بشپړه توګه په دې پورې اړه لري چې هغه ځانګړې غوښتنه څنګه لارښوونه او ژباړل شوې ده۔
دا هغه برخه ده چې ورو کېدل یې ارزښت لري۔ «براوزر د VPN پتې مالک نه دی» د انټرفېسونو په اړه پوښتنې ته ځواب ورکوي، په داسې حال کې چې انعکاس شوې پته د ژباړې له لارې د یوې لارې ځواب دی۔ د دواړو ګډول د افشا په اړه ډاډمنې پایلې رامنځته کوي چې شواهد یې ملاتړ نه کوي۔
دوه وسیلې، دوه انټرفېس ټولګې
په روټر ولاړ ترتیباتو کې تونل پر روټر پای ته رسېږي او LAN کليېنټ عادي ترافیک خپل اصلي ګېټوې ته لېږي۔ د کليېنټ د انټرفېسونو لړلیک لنډ پاتې کېږي: یوه شخصي پته، شاید د بل شبکې لپاره دوهمه، او بېرته ګرځېدونکې لاره۔ خطر دا نه دی چې یوه له دوی څخه ناڅاپه د تونل پته وي؛ خطر دا دی چې غوښتنه هغه لاره ووځي چې تاسو نه ده غوره کړې۔
له کليېنټ څخه وپوښتئ یو ځانګړی منزل کومه لاره به ونیسي، د دې پرځای چې وپوښتئ کوم انټرفېسونه شته۔ ځواب یوه ګېټوې او هغه سرچینه پته نوموي چې کرنل به یې کاروي، او دا له هر پتې لړلیک څخه ډېره معلوماتي ده۔
ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ipsد اسنادو سیمې د ازموینې لپاره ښه منزلونه دي ځکه چې هیڅکله هم یوې ریښتیني خدمت ته نه حل کېږي۔ پرتله کړئ چې کليېنټ څه وايي له هغه سره چې روټر څه وايي، او هر اختلاف د دې شاهد وګڼئ چې د پالیسي لارښوونه، د ووېشل شوي تونل قاعده یا دوهم اصلي مسیر هغه څه کوي چې تاسو یې حساب نه دی کړی۔
Binding ځواب څه ویلای شي
RFC 8489 Binding غوښتنه او ځواب تعریفوي، چې پکې سرور د هغې غوښتنې لپاره لیدل شوې سرچینه انتقالي پته راپور ورکوي۔ دا د یوې شېبې په اړه د یو پنځګون په اړه بیان دی، د کليېنټ د انټرفېسونو سرشمېرنه نه۔ له همدې امله ټول زړه راښکونکي شیان د کليېنټ او د کتنې نقطې ترمنځ پېښېږي۔
هغه تشه لارښوونه او ژباړه ډکوي۔ هغه روټر چې وتونکي ترافیک باندې د سرچینې NAT کوي، د کليېنټ شخصي سرچینه په وتونکي انټرفېس کې د خپلې پتې سره بدلوي۔ که هغه انټرفېس تونل وي، انعکاس کوونکی د تونل پته ویني۔ که پاکټ له تونل څخه ایستل شوی وي، انعکاس کوونکی هغه څه ویني چې WAN ژباړې تولید کړي۔ هماغه کليېنټ، هماغه انعکاس کوونکی، بېله ځواب۔
درې حالتونه چې ورته ښکاري او نه دي
ګټور توپیر د عام او شخصي ترمنځ نه دی، بلکې دا دی چې کوم پلي کولو نقطه پاکټ سمبال کړ۔ حالتونه د روټر خپلو جدولونو سره پرانیستې وګورئ، ځکه چې یو براوزر کولای شي درېواړه تولید کړي، د هغې قاعدې له مخې چې تاسو یې لیکل هېر کړي دي۔
| Where the request leaves | What rewrites the source | What the reflector reports |
|---|---|---|
| Tunnel interface on the router | Router NAT towards the tunnel address | The tunnel address as seen on that path |
| WAN interface, excluded by policy | Ordinary WAN translation | The public WAN address |
| Private reflector reached through the tunnel route | Router NAT towards the tunnel address | An internal identifier valid only inside that path |
یوازې دوهم حالت هغه شرط ماتوي چې ځینې ترافیک باید هیڅکله سیده ونه وځي، او یوازې لومړی او دریم د تونل خوا ته پېژندونکی ښکاره کوي۔ د درېو کرښو څخه هیڅ یوه هم د یو ځانګړي چمتو کوونکي د رفتار په اړه ادعا نه ده: دا چې شخصي انعکاس کوونکي ته رسېدل ممکن دي که نه، په لارښوونې، د بلې خوا اجازه لرونکو IP پتو او د دواړو سرونو د firewall پالیسۍ پورې اړه لري۔
په هماغه چمتو کوونکي کې حساب لرل د دې له هیچا څخه څه نه ثابتوي۔ دا هم د یادولو وړ ده چې لارښوونې شوې غوښتنه کولای شي د کليېنټ LAN سرچینه وساتي که هیڅ شی یې ژباړه نه کړي، نو د سرچینې ساحه باید تعقیب شي نه د توپولوژۍ نقشې څخه فرض شي۔
راغونډول غوره کول نه دي
WebRTC د هڅونې لپاره نوماندې پتې راغونډوي، او هغه نوماند چې په تشخیصي لړلیک کې ښکاري ممکن هیڅکله میډیا ونه لېږدوي۔ لړلیک لوستل لکه «دا هغه څه دي چې بله خوا زده کړل» شواهد له حده زیات ارزوي۔ غوره شوې جوړه هغه ده چې په رښتیا سره ناسته ولېږدوله، او هغه په بله ساحه کې ده۔
د HTTPS وتنې کتونکی یو بل پوښتنې ته ځواب ورکوي: هغه سرچینه پته چې یو ویب سرور د هغې غوښتنې لپاره لیدلې ده۔ دا ګټوره کروس-کتنه ده ځکه چې د UDP انعکاس کوونکي څخه بېل پروتوکول او ډېری وختونه بېل منزل کاروي، او د دواړو ترمنځ اختلاف معمولاً د پروګرام خطا نه بلکې د لارښوونې قاعدې ته اشاره کوي۔
پالیسي پرېکړه کړئ، بیا ځواب ولولئ
مخکې له ازموینې اراده ولیکئ: کوم ترافیک باید تونل وکاروي، کوم کولای شي سیده ووځي، کومې پتې کورنۍ په حد کې دي، او کله چې تونل بند وي څه باید پېښ شي۔ پرته له دې بنسټیزې کرښې هره کتنه مبهمه ده، ځکه چې تاسو نشئ کولای د ښکاره شوي لارې څخه بهېدل بېل کړئ۔
بیا په یو وخت کې یوه پوښتنه وکړئ۔ دا منزل کومه لاره نیسي۔ دا انعکاس کوونکی کومه پته راپور ورکوي۔ ناستې کومه نومانده جوړه غوره کړه۔ ځوابونه د پالیسۍ ترڅنګ وساتئ او نېټه پرې ولیکئ، ځکه چې د فرمونیر تازه کول کولای شي اصلي رفتار په داسې ډول بدل کړي چې د تېر کال پایله په خاموشۍ باطله کړي۔
روټر لا هم یو ځواکمن پلي کولو نقطه ده، ځکه چې هغه ترافیک ویني چې کليېنټ یې نشي کولای پرته له دې چې خپل ځان بیا تنظیم کړي، له هغې تېر شي۔ دا د دې ژمنه نه ده چې هر تطبیقي پروتوکول کې هره ساحه هېڅ نه ښکاره کوي، او د هغو لارو لیکلو بدیل هم نه دی چې تاسو د اجازې ورکولو لپاره غوره کړي دي۔