Çfarë zbulon një listë kandidatësh WebRTC për VPN-në tuaj
Një kandidat host, reflektues i serverit ose rele-t thotë nga ka ardhur një adresë. Vetëm çifti ICE i zgjedhur thotë cilën rrugë ka përdorur realisht media.
Kur një faqe testimi WebRTC shtyp 172.20.4.15, ajo ka mësuar se në atë rrjet ekziston një ndërfaqe lokale. Ky është një zbulim i vërtetë dhe nuk është i njëjti konstatim si «media doli përmes daljes së VPN-së». Zbulimi i kandidatëve dhe drejtimi i paketave janë mekanizma të veçantë, dhe shumica e raporteve të rrjedhjes i bashkojnë në një verdikt të vetëm. Cili nga të dy po shihni vendos rregullimin.
Mbledhja ndodh përpara se të dërgohet diçka
Shfletuesi numëron ndërfaqet lokale, dërgon një kërkesë lidhjeje te një server STUN dhe kërkon një alokim nga një server TURN, pastaj i shkruan rezultatet në përshkrimin e sesionit si rreshta kandidatësh. E gjithë kjo përfundon pa thirrje, pa media dhe pa palë tjetër. Prandaj lista e kandidatëve është një regjistër i zbulimit, jo i transportit.
Shfletuesit modernë mund të zëvendësojnë adresën fjalëpërfjalë të një kandidati host me një emër mDNS .local, kështu që faqja nuk mund të lexojë IP-në private. Rrjeti lokal vazhdon të shohë pyetjet multicast që zgjidhin atë emër, pra adresa fshihet nga aplikacioni dhe nuk hiqet nga rrjeti.
Edhe radha ka rëndësi: një ngarkim i ri i faqes mbledh një grup të ri, me një alokim tjetër TURN dhe ndoshta një hartëzim tjetër reflektues. Dy ekzekutime që nuk përputhen nuk janë domosdoshmërisht dy konfigurime të ndryshme.
Tre lloje kandidatësh, tre lloje provash
Çdo rresht vjen nga një vëzhgim tjetër. Çdo lloj i përgjigjet një pyetjeje tjetër, dhe tabela i ndan sipas asaj që mund dhe që nuk mund të vërtetojnë.
| Candidate | Derived from | What it establishes | What it cannot establish |
|---|---|---|---|
| Host | An interface on the device | A local address exists in that network | That the peer can reach it |
| Server-reflexive | A STUN binding response | How a NAT mapped this source | Which exit the media will use |
| Peer-reflexive | A connectivity check that arrived | An address seen by the far side | That it was ever advertised |
| Relay | A TURN allocation | The relay server accepted the session | That the relay carries the call |
Kandidati rele ngatërrohet rregullisht me adresën e internetit të përdoruesit. I përket serverit TURN, dhe prania e tij tregon se një rele ishte në dispozicion, jo se shfletuesi e zgjodhi. I njëjti ngatërrim shkon në drejtim të kundërt me kandidatët host, ku një emër mDNS e fsheh adresën nga faqja ndërsa rrjeti vazhdon të mbajë pyetjet. Lexoni llojin përpara se të lexoni vlerën.
Çifti i zgjedhur i përgjigjet pyetjes së drejtimit
ICE çifton çdo kandidat lokal me çdo kandidat të largët, ekzekuton kontrolle lidhshmërie në çdo çift dhe emëron një fitues. Ai çift i emëruar, i dukshëm në diagnostikimin e vetë shfletuesit, mbart mediat. Çdo gjë tjetër në listë është një mundësi që humbi.
Fituesi ju tregon formën e rrugës. Rele në rele kalon përmes serverit TURN, një çift host mbetet në rrjetin lokal, dhe një çift reflektues i serverit kalon drejt përmes NAT. Ky është fakti që i nevojitet një kontrolli VPN, dhe është një fakt tjetër nga lista e adresave. Dy thirrje me lista kandidatësh identike mund të marrin çifte të ndryshme.
Kandidatët e paselektuar u mblodhën gjithsesi, dhe mbledhja është trafik rrjeti që largohet nga makina. Një thirrje që në fund përdori relen nuk do të thotë se asgjë nuk u zbulua ndërsa lista ndërtohej.
Kontrollet përputhen me objektivat, jo me një rezultat rrjedhjeje
Specifikimi i WebRTC për trajtimin e IP-së përshkruan disa politika: përdorimi i vetëm ndërfaqes që mbart rrugën e parazgjedhur, përdorimi i të gjitha ndërfaqeve dhe çaktivizimi i UDP-së pa proxy, kështu që trafiku duhet të kalojë përmes një releje ose proxy. Secila shkëmben lidhshmërinë dhe vonesën për një lloj tjetër ekspozimi. Cilën zbaton një shfletues dhe me çfarë emri ndryshon sipas platformës dhe versionit.
Zgjidhni politikën nga objektivi. Fshehja e adresave lokale nga një faqe është një objektiv; parandalimi i trafikut të drejtpërdrejtë mes palëve është një tjetër; mbajtja e çdo pakete brenda tunelit është i treti. I pari ka të bëjë kryesisht me atë që mëson aplikacioni, i dyti me atë se cila rrugë lejohet, dhe i treti duhet zbatuar edhe në kufirin e platformës ose të VPN-së.
Cilindo kontroll të zgjidhni, verifikoni të dyja gjysmat: ekzekutoni testin e mbledhjes dhe shënoni llojet e kandidatëve, pastaj inspektoni çiftin e zgjedhur gjatë një sesioni real. Një listë e pastër adresash me një rrugë mediash të drejtpërdrejtë është ende një rrugë që nuk e kishit synuar.