Akú zdrojovú adresu vidí STUN s VPN na routeri?
Trasa, voľba zdroja a preklad určujú adresu, ktorú hlási reflektor. Tri fakty na zapísanie, potom jedna požiadavka na potvrdenie, ktorá cesta vyhrá.
Otázka vyzerá ako jedno vyhľadanie a v skutočnosti sú to tri rozhodnutia. Ktorú trasu binding request zvolí, aký zdroj jadro pre túto trasu vyberie a či niečo cestou tento zdroj prepíše. Zmeňte jedno z nich a adresa, ktorú server STUN hlási, sa zmení s ním. Preto tvrdenie, že VPN sedí na routeri, samo o sebe nehovorí takmer nič.
Rozhodnutie stojí na troch faktoch
Po prvé trasa: pravidlá politiky a smerovacia tabuľka rozhodujú, či požiadavka odíde tunelom alebo bežným WAN, a vylúčený cieľ zvolí druhú cestu aj pri aktívnom tuneli. Po druhé zdroj: jadro vyberie zdroj pre zvolenú trasu a táto voľba závisí od preferovaného zdroja trasy a od každého pravidla, ktoré zodpovedalo. Po tretie preklad: NAT cestou nahradí zvolený zdroj. Odrazená adresa je súčinom všetkých troch, nie vlastnosťou tunela.
Zmeňte jedno z troch a odpoveď sa zmení, zatiaľ čo každá komponenta vo svojom vlastnom logu stále vyzerá zdravo. To je obvyklý dôvod, prečo táto diagnóza uviazne.
Zapíšte tri fakty pre tok, ktorý testujete, skôr než začnete. Rozhranie, trasa a pravidlo prekladu stačia na predpoveď výsledku a práve predpoveď robí prekvapenie poučným. Ak nedokážete jedno z troch vyplniť, je táto medzera skutočným zistením.
Sledujte jeden binding request po ceste
Binding request STUN žiada server, aby nahlásil pozorovanú zdrojovú transportnú adresu. Odpoveď opisuje cestu, ktorou požiadavka prešla, nie inventár rozhraní na klientskom stroji. Dve požiadavky po dvoch cestách poctivo nahlásia dve rôzne adresy.
| Path taken | Source the reflector sees | What it means |
|---|---|---|
| Tunnel to a public exit that translates | The exit's public address | The reflector learns nothing about the LAN |
| Tunnel to a private reflector, translated to the tunnel address, no later translation | That tunnel address | An internal identifier is disclosed to that reflector |
| Excluded flow over the ordinary WAN | The WAN address | The tunnel was not used at all |
Čítajte tú tabuľku ako súbor podmienok, nie ako menu poskytovateľov. Prostredný riadok vyžaduje, aby bol súkromný reflektor dosiahnuteľný pod vlastným smerovaním a peer politikou tunela; to je konfiguračný fakt, ktorý môžete overiť, a nie niečo, čo implikuje úroveň účtu. Spodný riadok je zvyčajne ten, na ktorom záleží pre politiku, pretože táto prevádzka mala zostať v tuneli. Medzi nimi leží bežný prípad, keď výstup prekladá a reflektor vidí len výstup.
Hostiteľskí kandidáti a serverovo reflexívni kandidáti vznikajú z rôznych mechanizmov, takže zoznam kandidátov nehovorí, ktorú cestu médiá skutočne použili. Čítajte vybranú dvojicu, nie log zhromažďovania, keď chcete vedieť, kam relácia išla.
Čím adresa tunela routera nie je
Adresa tunela pridelená routeru patrí rozhraniu na routeri. Prehliadač na hostiteľovi v LAN má vlastné adresy rozhraní a žiadny priamy pohľad na tunelové rozhranie routera. Ak sa s oboma zaobchádza ako so zameniteľnými, vznikajú sebavedomé nesprávne odpovede na to, čo sa webová stránka môže dozvedieť.
Preposielanie je to, čo ich spája. Požiadavka prechádza routerom ako smerovaná prevádzka a jej zdrojom je to, čo vytvorili smerovanie a preklad.
Ak tunelová cesta zachováva zdroj z LAN, súkromný reflektor sa môže dozvedieť túto adresu LAN, čo je skutočné prezradenie a iné než adresa tunela. Ak cesta prekladá na adresu tunela, reflektor sa namiesto toho dozvie adresu tunela. Oba výsledky sú zlučiteľné s tým istým prehliadačom na tom istom hostiteľovi, a preto musí byť pozorovanie zviazané s konkrétnym tokom. Spýtajte sa jadra, aký zdroj by použilo, skôr než obviníte aplikáciu.
Prezradenie verzus obídenie: dve zistenia, dve opravy
Odrazená adresa tunela prezrádza interný identifikátor po ceste, ktorú ste povolili. Požiadavka priamo cez WAN obchádza cestu, ktorú ste chceli vyžadovať. Prvá je otázka informácie, druhá vymáhania, a opravujú sa na rôznych miestach. Ich zliatie do jedného slova dáva opravu, ktorá nerieši ani jedno.
WebRTC to robí viditeľnejším bez toho, aby to robilo chybným, pretože zhromaždiť kandidáta nie je to isté ako ho vybrať.
ip route get 203.0.113.7 from 192.0.2.25
ip rule showSpustite dopyt na trasu pre každú povolenú adresu reflektora so zdrojom, ktorý má tento tok podľa vás niesť, a potom ho spustite znova pre vylúčené rozsahy, aby ste videli, čo zvolí záložná možnosť. Porovnajte obe odpovede s politikou, ktorú ste zapísali. Keď sa líšia spôsobom, ktorý ste nezamýšľali, našli ste miesto opravy bez toho, aby ste vôbec museli interpretovať zoznam kandidátov prehliadača.