WebRTC aday listesi VPN'iniz hakkında neyi açığa çıkarır
Bir ana bilgisayar, sunucu yansımalı veya aktarma adayı, bir adresin nereden geldiğini söyler. Medyanın gerçekte hangi yolu kullandığını yalnızca seçilen ICE çifti söyler.
Bir WebRTC test sayfası 172.20.4.15 yazdırdığında, o ağda yerel bir arabirim bulunduğunu öğrenmiştir. Bu gerçek bir ifşadır ve «medya VPN çıkışından çıktı» bulgusuyla aynı şey değildir. Aday keşfi ve paket yönlendirme ayrı mekanizmalardır ve sızıntı raporlarının çoğu ikisini tek bir hükümde birleştirir. Hangisine baktığınız çözümü belirler.
Toplama, herhangi bir şey gönderilmeden önce gerçekleşir
Tarayıcı yerel arabirimleri listeler, bir STUN sunucusuna bağlama isteği gönderir ve bir TURN sunucusundan tahsis ister, ardından sonuçları oturum tanımına aday satırları olarak yazar. Bütün bunlar çağrı, medya ve karşı taraf olmadan tamamlanır. Bu nedenle aday listesi keşfin kaydıdır, aktarımın değil.
Modern tarayıcılar bir ana bilgisayar adayının gerçek adresini bir mDNS adı olan .local ile değiştirebilir, böylece sayfa özel IP'yi okuyamaz. Yerel ağ, o adı çözen çoklu yayın sorgularını hâlâ görür; yani adres uygulamadan gizlenir, ağdan kaldırılmaz.
Sıra da önemlidir: yeni bir sayfa yüklemesi yeni bir küme toplar, farklı bir TURN tahsisi ve belki farklı bir yansımalı eşleme ile. Birbirinden farklı iki çalıştırma mutlaka iki farklı yapılandırma değildir.
Üç aday türü, üç tür kanıt
Her satır farklı bir gözlemden gelir. Her tür farklı bir soruyu yanıtlar ve tablo onları neyi kanıtlayabildiklerine ve kanıtlayamadıklarına göre ayırır.
| Candidate | Derived from | What it establishes | What it cannot establish |
|---|---|---|---|
| Host | An interface on the device | A local address exists in that network | That the peer can reach it |
| Server-reflexive | A STUN binding response | How a NAT mapped this source | Which exit the media will use |
| Peer-reflexive | A connectivity check that arrived | An address seen by the far side | That it was ever advertised |
| Relay | A TURN allocation | The relay server accepted the session | That the relay carries the call |
Aktarma adayı sıklıkla kullanıcının internet adresiyle karıştırılır. TURN sunucusuna aittir ve varlığı bir aktarmanın kullanılabilir olduğunu gösterir, tarayıcının onu seçtiğini değil. Aynı karışıklık ana bilgisayar adaylarında ters yönde işler; burada bir mDNS adı adresi sayfadan saklarken ağ sorguları taşımaya devam eder. Değeri okumadan önce türü okuyun.
Seçilen çift yönlendirme sorusunu yanıtlar
ICE her yerel adayı her uzak adayla eşleştirir, her çift üzerinde bağlantı denetimleri çalıştırır ve bir kazanan belirler. Tarayıcının kendi tanılamasında görünen o belirlenen çift medyayı taşır. Listedeki diğer her şey kaybetmiş bir olasılıktır.
Kazanan size yolun şeklini söyler. Aktarmadan aktarmaya TURN sunucusundan geçer, ana bilgisayar çifti yerel ağda kalır ve sunucu yansımalı çift doğrudan NAT üzerinden gider. Bu, bir VPN denetiminin ihtiyaç duyduğu olgudur ve adres listesinden farklı bir olgudur. Aynı aday listelerine sahip iki çağrı farklı çiftler seçebilir.
Seçilmeyen adaylar yine de toplandı ve toplama makineden çıkan ağ trafiğidir. Sonunda aktarmayı kullanan bir çağrı, liste oluşturulurken hiçbir şeyin açığa çıkmadığı anlamına gelmez.
Denetimler hedeflere karşılık gelir, sızıntı puanına değil
WebRTC'nin IP işleme belirtimi birkaç politika tanımlar: yalnızca varsayılan rotayı taşıyan arabirimi kullanmak, tüm arabirimleri kullanmak ve proxiesiz UDP'yi kapatarak trafiğin bir aktarma veya proxy üzerinden gitmesini zorunlu kılmak. Her biri bağlantı ve gecikmeyi farklı bir maruz kalma türüyle değişir. Tarayıcının hangisini ve hangi adla uyguladığı platforma ve sürüme göre değişir.
Politikayı hedeften seçin. Yerel adresleri bir sayfadan saklamak bir hedeftir; doğrudan eşler arası trafiği engellemek bir diğeridir; her paketi tünelin içinde tutmak üçüncüsüdür. Birincisi çoğunlukla uygulamanın ne öğrendiğiyle ilgilidir, ikincisi hangi yolun izinli olduğuyla, üçüncüsü ise platform veya VPN sınırında da uygulanmalıdır.
Hangi denetimi seçerseniz seçin iki yarıyı da doğrulayın: toplama testini çalıştırın ve aday türlerini kaydedin, ardından gerçek bir oturum sırasında seçilen çifti inceleyin. Doğrudan medya yolu olan temiz bir adres listesi de amaçlamadığınız bir yoldur.