VPN apo përcjellës TURN: cili e mbart vërtet një thirrje WebRTC?
Tuneli ndryshon rrugën që sheh ICE; ai nuk cakton kurrë një përcjellës dhe nuk ofron sinjalizim. Krahasoni çfarë ofron një dalje VPN dhe një server TURN.
Faqja ngarkohet përmes VPN-së, por thirrja nuk lidhet kurrë: dy dështime të ndryshme në të njëjtën shirit adresash. Tuneli ndryshoi rrugën që përdor shfletuesi; ai nuk u bë shërbim sinjalizimi, server STUN ose përcjellës dhe nuk vendos cilin çift kandidatësh do të zgjedhë ICE. Pikërisht ndarja e punës që kryen secili komponent e kthen një „WebRTC është bllokuar“ të paqartë në një defekt konkret.
Katër punë, dhe tuneli prek vetëm njërën
Aplikacioni shkëmben informacion sesioni përmes një rregullimi sinjalizimi, dhe kjo është puna e parë. ICE mbledh adresa kandidatësh dhe teston çifte derisa një të funksionojë, që është e dyta. STUN i lejon një palë të mësojë si duket trafiku i tij nga jashtë, dhe TURN cakton një përcjellës për rastet kur nuk ekziston rrugë e drejtpërdrejtë. Këto katër role janë të dallueshme, dhe një VPN ndikon në adresat dhe filtrimin që ato hasin në vend që të ofrojë ndonjërën prej tyre.
Prandaj një hyrje e suksesshme nuk thotë asgjë për rrugën e medias. Sinjalizimi zakonisht kalon përmes të njëjtit HTTPS që faqja përdor tashmë, në portën 443, ndërsa media mund të udhëtojë përmes UDP drejt një destinacioni krejt tjetër.
Adresimi privat e përkeqëson konfuzionin. Një adresë tuneli është e dobishme për një palë vetëm kur ajo palë ka një rrugë të synuar mbrapsht drejt saj; të qenit private nuk është provë e arritshmërisë reciproke, dhe shfletuesit nuk e trajtojnë ashtu kur hedhin poshtë kandidatë që nuk mund të verifikohen. Një kandidat që ju duket lokal mund të jetë i paverifikueshëm nga ana tjetër. Vlen ta përjashtoni atë boshllëk përpara se të arrini në përfundimin se tuneli po i hedh mediat.
Krahasoni një dalje VPN me një përcjellës TURN
Të dyja përcjellin paketa, prandaj ngatërrohen, dhe tabela e krahasimit më sipër vlen të lexohet kolonë për kolonë e jo si listë funksionesh. Caktimi i përcjellësit është një objekt për çdo sesion i krijuar nga një kërkesë e vërtetuar; tuneli është një rrugë. Njëra ka kredenciale që skadojnë, tjetra ka një adresë pale që ose është e arritshme ose nuk është.
| Component | What it contributes | What it needs to work | What it cannot do |
|---|---|---|---|
| VPN exit | Changes the observed mapping and the route packets take | A working tunnel and a policy that permits the media transport | Allocate a relay or supply signaling |
| STUN server | Reports the mapped address a peer appears to use | Reachability from the client, on its configured transport | Carry media when a direct path fails |
| TURN server | Relays media through an authenticated allocation | Valid credentials, an allowed transport and sufficient capacity | Fix a missing ICE policy or an unauthorized client |
| Signaling channel | Carries offers, answers and candidate lists | Both peers reaching the same application endpoint | Establish connectivity by itself |
Numrat e portave e bëjnë dallimin konkret. TURN dëgjon si parazgjedhje në 3478 për UDP dhe TCP dhe në 5349 për TLS, dhe një rrjet që lejon 443 por i hedh poshtë ato porta do të dështojë në thirrjet e përcjella ndërsa shfletimi vazhdon normalisht. Ndryshimi i portës së VPN-së nuk konfiguron asgjë nga kjo, sepse portat që kanë rëndësi i përkasin shërbimit të përcjellësit, jo tunelit.
Lexoni diagnostikimin, pastaj provoni thirrjen
Shfletuesit shfaqin informacionin e nevojshëm pa kapje paketash. Hapni faqen e diagnostikimit WebRTC për shfletuesin tuaj, bëni thirrjen dhe lexoni çiftin e kandidatëve të zgjedhur në vend të listës së mbledhur: cilat lloje kandidatësh lokalë dhe të largët u zgjodhën, përmes cilit transport dhe familje adresash, dhe nëse rruga është e drejtpërdrejtë apo e përcjellë.
Dy lexime vlen t'i dini paraprakisht. Nëse çifti i zgjedhur është host-me-host në adresa private, media qëndron në një rrugë për të cilën mund të arsyetoni; nëse është përcjellës-me-përcjellës, thirrja konsumon kapacitet përcjellësi dhe varet nga disponueshmëria e atij shërbimi. Një defekt që ndalon në „duke verifikuar“ pa një çift të zgjedhur do të thotë se kandidatët u mblodhën, por asnjë nuk i kaloi kontrollet e lidhshmërisë.
Pastaj krahasoni të njëjtat dy skaje në të njëjtën thirrje duke ndryshuar vetëm një kusht të miratuar, dhe pranojeni rezultatin mbi media ose të dhëna dykahëshe dhe jo mbi një tregues „i lidhur“. Mbledhja e kandidatëve ka sukses në shumë raste që nuk mbartin asnjë kuader audio. Përsëriteni thirrjen në anën tjetër të ndryshimit dhe ruani të dy kapjet diagnostike, sepse krahasimi i dy ekzekutimeve jep më shumë informacion se leximi i secilit veç e veç. Të njëjtat skaje, i njëjti kodek, një variabël e ndryshuar.
Një aplikacion që e vendos me dashje politikën e transportit ICE në relay kërkon vetëm kandidatë përcjellësi. Ai rregullim nuk krijon përcjellës dhe nuk riparon kredenciale që mungojnë; e bën kërkesën të qartë, gjë që është e dobishme kur dikush fajëson VPN-në për një politikë që zgjodhi faqja.
Mbajeni pretendimin për privatësinë aq të ngushtë sa provat
Ekspozimi i kandidatëve varet nga politika e shfletuesit dhe e aplikacionit, jo vetëm nga statusi i tunelit, dhe specifikimi W3C për lidhjen mes palëve e trajton trajtimin e IP-së si çështje më vete. Prandaj një VPN i lidhur është bazë e dobët për të premtuar se një thirrje zbulon vetëm një adresë të zgjedhur. Dy palë pas të njëjtit tunel mund të zgjedhin edhe një rrugë që nuk e lë kurrë hostin, gjë që është njëkohësisht përmirësim privatësie dhe kufizim lidhshmërie.
Ajo që mund të thoni saktësisht është më e ngushtë dhe më e dobishme: cili çift kandidatësh u zgjodh, cili transport e mbarti dhe nëse ajo rrugë mbeti brenda tunelit. Shënoni këto tre fakte për një thirrje që funksionon dhe për një që dështon, dhe ndryshimi zakonisht emërton komponentin që duhet rregulluar.
Pasi lidhshmëria funksionon, ndani performancën nga arritshmëria. Humbja, vonesa, radhët dhe MTU ndodhen të gjitha në rrjedhën e poshtme të një çifti të saktë kandidatësh, dhe trajtimi i një thirrjeje të ndërprerë si defekt lidhshmërie ju kthen te lista e kandidatëve pa arsye.