Ano ang inihahayag ng STUN reply kapag tumatakbo ang VPN sa router

Kapag ang tunnel ay nasa router, ang makina na nagpapatakbo ng browser ay walang anumang tunnel interface. Tanungin ang makinang iyon tungkol sa mga lokal na address nito at makakakuha ka ng pribadong LAN address at isang loopback, walang kahit ano na kahawig ng VPN address. Gayunpaman, ang isang STUN server sa kabilang dulo ay maaari pa ring mag-ulat ng isang bagay na makabuluhan tungkol sa landas, at ang iniuulat nito ay ganap na nakasalalay sa kung paano niruta at isinalin ang partikular na kahilingang iyon.

Ito ang bahaging karapat-dapat na dahan-dahanin. „Hindi pag-aari ng browser ang VPN address“ ay sumasagot sa isang tanong tungkol sa mga interface, samantalang ang sinasalamin na address ay sagot tungkol sa isang landas sa pamamagitan ng salin. Ang paghahalo ng dalawa ay gumagawa ng mga kumpiyansang konklusyon tungkol sa pagbubunyag na hindi sinusuportahan ng ebidensya.

Dalawang aparato, dalawang set ng interface

Sa isang setup na nakabatay sa router, nagtatapos ang tunnel sa router at ang LAN client ay nagpapadala ng ordinaryong trapiko sa default gateway nito. Nananatiling maikli ang listahan ng interface ng client: isang pribadong address, marahil isa pa para sa ibang network, at ang loopback. Ang panganib ay hindi na ang isa sa mga ito ay nagkataong tunnel address; ito ay na ang kahilingan ay lumalabas sa isang landas na hindi mo pinili.

Tanungin ang client kung anong landas ang tatahakin ng isang partikular na destinasyon sa halip na itanong kung anong mga interface ang umiiral. Pinapangalanan ng sagot ang isang gateway at ang source address na gagamitin ng kernel, at ito ay mas may impormasyon kaysa sa anumang imbentaryo ng address.

ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ips

Ang mga saklaw ng dokumentasyon ay magagandang destinasyon ng pagsubok dahil hindi sila kailanman nare-resolve sa isang tunay na serbisyo. Ihambing ang sinasabi ng client sa sinasabi ng router, at ituring ang anumang pagkakaiba bilang ebidensya na ang routing ng patakaran, isang patakaran ng split tunnel o isang pangalawang default route ay gumagawa ng isang bagay na hindi mo isinaalang-alang.

Ano ang maaaring sabihin ng Binding reply

RFC 8489 ay tumutukoy sa Binding request at reply, kung saan iniuulat ng server ang source transport address na naobserbahan nito para sa kahilingang iyon. Ito ay isang pahayag tungkol sa isang limahan sa isang sandali, hindi isang senso ng mga interface ng client. Kaya't ang lahat ng kawili-wili ay nangyayari sa pagitan ng client at ng punto ng pagmamasid.

Ang puwang na iyon ay pinupuno ng routing at salin. Ang isang router na nagsasagawa ng source NAT sa papalabas na trapiko ay pinapalitan ang pribadong source ng client ng sarili nitong address sa papalabas na interface. Kung ang interface na iyon ay ang tunnel, nakikita ng reflector ang tunnel address. Kung ang packet ay naibukod mula sa tunnel, nakikita ng reflector ang nilikha ng salin ng WAN. Parehong client, parehong reflector, ibang sagot.

Tatlong kaso na magkamukha at hindi

Ang kapaki-pakinabang na pagkakaiba ay hindi pampubliko kumpara sa pribado, kundi kung aling punto ng pagpapatupad ang humawak sa packet. Trabahuin ang mga kaso nang bukas ang sariling mga talahanayan ng router, dahil ang isang browser ay makakagawa ng tatlo depende sa isang patakarang nakalimutan mong isinulat mo.

Tanging ang pangalawang kaso ang lumalabag sa kahilingan na ang ilang trapiko ay hinding-hindi lumabas nang direkta, at tanging ang una at pangatlo ang nagbubunyag ng identifier mula sa gilid ng tunnel. Wala sa tatlong hanay ang isang pag-aangkin tungkol sa pag-uugali ng isang partikular na provider: kung ang isang pribadong reflector ay maabot depende sa routing, sa mga pinapayagang IP address ng kabilang panig at sa patakaran ng firewall sa dalawang dulo.

Ang pagkakaroon ng account sa parehong provider ay hindi nagpapatunay ng anuman sa mga ito. Sulit ding tandaan na ang isang nirutong kahilingan ay maaaring mapanatili ang LAN source ng client kung walang nagsasalin nito, kaya ang field ng source ay dapat subaybayan sa halip na ipalagay mula sa diagram ng topolohiya.

Ang pagkolekta ay hindi pagpili

Ang WebRTC ay nangongolekta ng mga kandidatong address na susubukan, at ang isang kandidato na lumilitaw sa isang diagnostic na listahan ay maaaring hindi kailanman magdala ng media. Ang pagbasa sa listahan bilang „ito ang natutunan ng kabilang panig“ ay labis na pinapahalagahan ang ebidensya. Ang napiling pares ang siyang aktwal na nagdala ng sesyon, at ito ay nasa ibang field.

Ang isang HTTPS exit checker ay sumasagot sa isa pang tanong: ang source address na nakita ng isang web server para sa kahilingang iyon. Ito ay kapaki-pakinabang na cross-check dahil gumagamit ito ng ibang protocol at kadalasan ng ibang destinasyon kaysa sa isang UDP reflector, at ang pagkakaiba ng dalawa ay karaniwang tumuturo sa isang patakaran ng routing kaysa sa isang bug.

Magpasya sa patakaran, pagkatapos basahin ang sagot

Isulat ang layunin bago subukan: aling trapiko ang dapat gumamit ng tunnel, alin ang maaaring lumabas nang direkta, aling mga pamilya ng address ang saklaw, at ano ang dapat mangyari kapag bumagsak ang tunnel. Kung wala ang baseline na iyon, ang bawat obserbasyon ay malabo, dahil hindi mo maihihiwalay ang isang pagtagas mula sa isang landas na sadyang pinayagan mo.

Pagkatapos ay magtanong ng isang tanong sa isang pagkakataon. Anong landas ang tinatahak ng destinasyong ito. Anong address ang iniuulat ng reflector na ito. Anong kandidatong pares ang pinili ng sesyon. Itago ang mga sagot sa tabi ng patakaran at lagyan ng petsa, dahil ang isang update ng firmware ay maaaring magbago ng default na pag-uugali sa mga paraang tahimik na pinapawalang-bisa ang konklusyon noong nakaraang taon.

Ang router ay nananatiling isang matibay na punto ng pagpapatupad, dahil nakikita nito ang trapikong hindi maiiwasan ng isang client nang hindi muling kinokonfigura ang sarili nito. Hindi ito isang pangakong walang ibinubunyag ang bawat field sa bawat protocol ng aplikasyon, at hindi rin ito kapalit ng pagsulat ng mga landas na pinili mong payagan.