Çfarë zbulon një përgjigje STUN kur VPN-ja punon në ruter

Kur tuneli jeton në ruter, makina që ekzekuton shfletuesin nuk ka fare ndërfaqe tuneli. Pyetni atë makinë për adresat e saj lokale dhe do të merrni një adresë private LAN dhe një lak, asgjë që i ngjan një adrese VPN. Megjithatë, një server STUN në anën tjetër mund të raportojë ende diçka kuptimplotë për rrugën, dhe çfarë raporton varet plotësisht nga mënyra se si ajo kërkesë e veçantë u rrugëtua dhe u përkthye.

Kjo është pjesa që meriton të ngadalësohet. „Shfletuesi nuk e zotëron adresën VPN“ u përgjigjet një pyetjeje për ndërfaqet, ndërsa një adresë e reflektuar është një përgjigje për një rrugë përmes përkthimit. Përzierja e të dyjave prodhon përfundime të sigurta për zbulimin që provat nuk i mbështesin.

Dy pajisje, dy grupe ndërfaqesh

Në një konfigurim të bazuar në ruter, tuneli përfundon në ruter dhe klienti LAN dërgon trafik të zakonshëm te porta e tij e parazgjedhur. Lista e ndërfaqeve të klientit mbetet e shkurtër: një adresë private, ndoshta një e dytë për një rrjet tjetër, dhe laku. Rreziku nuk është që njëra prej tyre të jetë rastësisht adresa e tunelit; rreziku është që kërkesa të dalë nëpër një rrugë që nuk e keni zgjedhur.

Pyetni klientin cilën rrugë do të merrte një destinacion i caktuar në vend që të pyesni cilat ndërfaqe ekzistojnë. Përgjigja emërton një portë dhe adresën burimore që do të përdorte bërthama, dhe kjo është tashmë më informuese se çdo inventar adresash.

ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ips

Gamrat e dokumentacionit janë destinacione të mira testimi sepse nuk zgjidhen kurrë në një shërbim real. Krahasoni çfarë thotë klienti me atë që thotë ruteri, dhe trajtoni çdo mospërputhje si provë që rrugëtimi sipas politikave, një rregull tuneli të ndarë ose një rrugë e dytë e parazgjedhur po bën diçka që nuk e keni marrë parasysh.

Çfarë lejohet të thotë një përgjigje Binding

RFC 8489 përcakton kërkesën dhe përgjigjen Binding, ku serveri raporton adresën e transportit burimor që vëzhgoi për atë kërkesë. Është një pohim për një pesëshe në një moment, jo një regjistrim i ndërfaqeve të klientit. Prandaj gjithçka interesante ndodh midis klientit dhe pikës së vëzhgimit.

Këtë boshllëk e mbushin rrugëtimi dhe përkthimi. Një ruter që bën NAT burimor në trafikun dalës zëvendëson burimin privat të klientit me adresën e vet në ndërfaqen dalëse. Nëse ajo ndërfaqe është tuneli, reflektori sheh adresën e tunelit. Nëse paketa u përjashtua nga tuneli, reflektori sheh atë që prodhoi përkthimi WAN. I njëjti klient, i njëjti reflektor, përgjigje tjetër.

Tre raste që duken njësoj dhe nuk janë

Dallimi i dobishëm nuk është publik kundrejt privat, por cila pikë zbatimi e trajtoi paketën. Përpunoni rastet me tabelat e vetë ruterit të hapura, sepse një shfletues i vetëm mund t'i prodhojë të tre sipas një rregulli që keni harruar se e keni shkruar.

Vetëm rasti i dytë cenon kërkesën që disa trafik nuk duhet të dalë kurrë drejtpërdrejt, dhe vetëm i pari dhe i treti zbulojnë një identifikues nga ana e tunelit. Asnjë nga tre rreshtat nuk është pohim për sjelljen e një ofruesi të caktuar: nëse një reflektor privat është i arritshëm varet nga rrugëtimi, nga adresat IP të lejuara të palës tjetër dhe nga politika e murit të zjarrit në të dy skajet.

Të kesh një llogari te i njëjti ofrues nuk vërteton asgjë nga këto. Vlen të mbahet mend gjithashtu se një kërkesë e rrugëtuar mund të mbajë burimin LAN të klientit nëse asgjë nuk e përkthen, ndaj fusha e burimit duhet të ndiqet dhe jo të supozohet nga diagrami i topologjisë.

Mbledhja nuk është përzgjedhje

WebRTC mbledh adresa kandidate për t'u provuar, dhe një kandidat që shfaqet në një listë diagnostikuese mund të mos ketë bartur kurrë media. Leximi i listës si „kjo është ajo që mësoi pala tjetër“ i mbivlerëson provat. Çifti i përzgjedhur është ai që barti në të vërtetë sesionin, dhe ai gjendet në një fushë tjetër.

Një verifikues daljeje HTTPS i përgjigjet një pyetjeje tjetër: adresës burimore që një server web pa për atë kërkesë. Është një kontroll i kryqëzuar i dobishëm pikërisht sepse përdor një protokoll tjetër dhe shpesh një destinacion tjetër sesa një reflektor UDP, dhe mospërputhja midis të dyjave zakonisht tregon një rregull rrugëtimi e jo një defekt.

Vendosni politikat, pastaj lexoni përgjigjen

Shkruani qëllimin para testimit: çfarë trafiku duhet të përdorë tunelin, çfarë mund të dalë drejtpërdrejt, cilat familje adresash janë në fushëveprim, dhe çfarë duhet të ndodhë kur tuneli është jashtë funksionit. Pa atë vijë bazë çdo vëzhgim është i paqartë, sepse nuk mund të ndani një rrjedhje nga një rrugë që e keni lejuar me qëllim.

Pastaj bëni një pyetje në një herë. Çfarë rruge merr ky destinacion. Çfarë adrese raporton ky reflektor. Çfarë çifti kandidatësh zgjodhi sesioni. Mbani përgjigjet pranë politikës dhe vini datë, sepse një përditësim firmueri mund të ndryshojë sjelljen e parazgjedhur në mënyra që zhvleftësojnë në heshtje përfundimin e vitit të kaluar.

Ruteri mbetet një pikë e fortë zbatimi, sepse sheh trafik që një klient nuk mund ta anashkalojë pa rikonfiguruar vetveten. Nuk është premtim që çdo fushë në çdo protokoll aplikimi nuk zbulon asgjë, dhe nuk zëvendëson shkrimin e rrugëve që keni zgjedhur t'i lejoni.