Коју изворну адресу види STUN са VPN-ом на рутеру?
Рута, избор извора и превод одлучују о адреси коју пријављује рефлектор. Три чињенице за запис, затим један упит да потврдите која стаза побеђује.
Питање звучи као једно тражење, а заправо су три одлуке. Коју руту узима binding request, који извор језгро одабира за ту руту и преписује ли ишта на путу тај извор. Промените једну од три и адреса коју пријављује STUN сервер мења се с њом. Зато тврдња да VPN стоји на рутеру сама по себи не каже готово ништа.
Одлука почива на три чињенице
Прво рута: правила политике и табела усмеравања одлучују излази ли захтев кроз тунел или кроз обични WAN, а искључено одредиште узима другу стазу и док је тунел активан. Затим извор: језгро одабира извор за одабрану руту, а тај избор зависи од пожељног извора руте и од сваког правила које се подударило. На крају превод: NAT на путу замењује одабрани извор. Рефлектована адреса је производ све три, а не својство тунела.
Промените једну од три и одговор се мења док свака компонента у сопственом дневнику још изгледа здраво. То је уобичајен разлог зашто ова дијагноза запе.
Запишите три чињенице за ток који тестирате пре почетка. Интерфејс, рута и правило превода довољни су за предвиђање резултата, а управо предвиђање чини изненађење поучним. Ако не можете да испуните једну од три, та празнина је стварни налаз.
Пратите један binding request кроз стазу
STUN binding request тражи од сервера да пријави посматрану изворну транспортну адресу. Одговор описује стазу коју је захтев прешао, не попис интерфејса на клијентском строју. Два захтева преко две стазе искрено ће пријавити две различите адресе.
| Path taken | Source the reflector sees | What it means |
|---|---|---|
| Tunnel to a public exit that translates | The exit's public address | The reflector learns nothing about the LAN |
| Tunnel to a private reflector, translated to the tunnel address, no later translation | That tunnel address | An internal identifier is disclosed to that reflector |
| Excluded flow over the ordinary WAN | The WAN address | The tunnel was not used at all |
Читајте ту табелу као скуп услова, не као јеловник пружалаца услуга. Средњи ред захтева да приватни рефлектор буде доступан под сопственим усмеравањем и peer политиком тунела; то је конфигурацијска чињеница коју можете проверити, а не нешто што имплицира ниво рачуна. Доњи ред је обично онај који је важан за политику, јер је тај саобраћај требало да остане у тунелу. Између њих је уобичајен случај у коме излаз преводи, а рефлектор види само излаз.
Кандидати хоста и серверски-рефлексни кандидати долазе из различитих механизама, па попис кандидата не говори коју су стазу медији стварно користили. Читајте одабрани пар, а не дневник прикупљања, када желите да знате куда је отишла сесија.
Шта адреса тунела рутера није
Адреса тунела додељена рутеру припада интерфејсу на рутеру. Прегледач на хосту у LAN-у има сопствене адресе интерфејса и нема изравни поглед у тунелски интерфејс рутера. Ако се са обе поступа као са заменљивима, настају самоуверени погрешни одговори о томе шта web-страница може да научи.
Прослеђивање је оно што их повезује. Захтев прелази рутер као рутирани саобраћај, а његов извор је оно што су створили усмеравање и превод.
Ако стаза тунела чува LAN извор, приватни рефлектор може да научи ту LAN адресу, што је стварно откривање и другачије од адресе тунела. Ако стаза преводи у адресу тунела, рефлектор уместо тога учи адресу тунела. Оба исхода су сагласна са истим прегледачем на истом хосту, зато посматрање мора бити везано за одређени ток. Питајте језгро који би извор употребило пре него што оптужите апликацију.
Откривање насупрот заобилажењу: два налаза, два поправка
Рефлектована адреса тунела открива интерни идентификатор преко стазе коју сте дозволили. Захтев изравно преко WAN-а заобилази стазу коју сте хтели да захтевате. Прво је информационо питање, друго питање спровођења, и поправљају се на различитим местима. Ако их спојите у једну реч, добићете поправку која не решава ни једно.
WebRTC то чини видљивијим без да то чини погрешним, јер прикупљање кандидата није исто што и његов одабир.
ip route get 203.0.113.7 from 192.0.2.25
ip rule showПокрените упит руте за сваку дозвољену адресу рефлектора, са извором за који очекујете да га тај ток носи, а затим га поново покрените за искључене распоне да видите шта одабира резерва. Упоредите два одговора са политиком коју сте записали. Када се разликују на начин који нисте намеравали, нашли сте тачку поправка, а да уопште нисте морали да тумачите попис кандидата прегледача.