VPN yönlendiricide çalıştığında bir STUN yanıtı neyi ortaya koyar

Tünel yönlendiricide yaşadığında, tarayıcıyı çalıştıran makinede hiç tünel arayüzü yoktur. O makineye yerel adreslerini sorun; özel bir LAN adresi ve bir geri döngü elde edersiniz, VPN adresine benzeyen hiçbir şey yoktur. Yine de karşı taraftaki bir STUN sunucusu yol hakkında anlamlı bir şey bildirebilir ve bildirdiği şey tamamen o isteğin nasıl yönlendirildiğine ve çevrildiğine bağlıdır.

Yavaşlamaya değer kısım burasıdır. „Tarayıcı VPN adresine sahip değildir“ arayüzlerle ilgili bir soruyu yanıtlar, oysa yansıtılan bir adres çeviriden geçen bir yol hakkında yanıttır. İkisini karıştırmak, kanıtın desteklemediği ifşa hakkında kendinden emin sonuçlar üretir.

İki cihaz, iki arayüz kümesi

Yönlendirici tabanlı bir kurulumda tünel yönlendiricide biter ve LAN istemcisi sıradan trafiği varsayılan ağ geçidine gönderir. İstemcinin arayüz listesi kısa kalır: bir özel adres, belki başka bir ağ için ikincisi ve geri döngü. Risk, bunlardan birinin tesadüfen tünel adresi olması değil; isteğin seçmediğiniz bir yoldan çıkmasıdır.

Hangi arayüzlerin var olduğunu sormak yerine istemciye belirli bir hedefin hangi yolu izleyeceğini sorun. Yanıt bir ağ geçidini ve çekirdeğin kullanacağı kaynak adresi adlandırır; bu, herhangi bir adres envanterinden daha bilgilendiricidir.

ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ips

Belge aralıkları test hedefleri için iyidir çünkü hiçbir zaman gerçek bir hizmete çözümlenmezler. İstemcinin söylediklerini yönlendiricinin söyledikleriyle karşılaştırın ve herhangi bir uyuşmazlığı politika yönlendirmesi, bölünmüş tünel kuralı ya da ikinci bir varsayılan yolun hesaba katmadığınız bir şey yaptığının kanıtı sayın.

Binding yanıtının söyleyebilecekleri

RFC 8489 Binding isteğini ve yanıtını tanımlar; sunucu o istek için gözlemlediği kaynak taşıma adresini bildirir. Bu, tek bir anda tek bir beşlinin beyanıdır, istemcinin arayüzlerinin sayımı değildir. Bu yüzden ilginç olan her şey istemci ile gözlem noktası arasında olur.

Bu boşluğu yönlendirme ve çeviri doldurur. Giden trafikte kaynak NAT yapan bir yönlendirici, istemcinin özel kaynağını giden arayüzdeki kendi adresiyle değiştirir. O arayüz tünelse yansıtıcı tünel adresini görür. Paket tünelden çıkarıldıysa yansıtıcı WAN çevirisinin ürettiğini görür. Aynı istemci, aynı yansıtıcı, farklı yanıt.

Birbirine benzeyen ve benzemeyen üç durum

Yararlı ayrım genel ile özel arasında değil, paketi hangi yaptırım noktasının ele aldığındadır. Durumları yönlendiricinin kendi tabloları açıkken inceleyin, çünkü tek bir tarayıcı yazmayı unuttuğunuz bir kurala bağlı olarak üçünü de üretebilir.

Yalnızca ikinci durum, bazı trafiğin asla doğrudan çıkmaması gerektiği koşulunu ihlal eder ve yalnızca birinci ile üçüncü durum tünel tarafında bir tanımlayıcı açığa çıkarır. Üç satırın hiçbiri belirli bir sağlayıcının davranışı hakkında iddia değildir: özel bir yansıtıcıya ulaşılıp ulaşılamaması yönlendirmeye, karşı tarafın izin verilen IP adreslerine ve iki uçtaki güvenlik duvarı politikasına bağlıdır.

Aynı sağlayıcıda hesap sahibi olmak bunların hiçbirini kanıtlamaz. Yönlendirilmiş bir isteğin, hiçbir şey çevirmediğinde istemcinin LAN kaynağını koruyabildiğini de hatırlamak gerekir; bu yüzden kaynak alanı topoloji şemasından varsayılmak yerine izlenmelidir.

Toplamak seçmek değildir

WebRTC denemek için aday adresler toplar ve tanılama listesinde görünen bir aday hiçbir zaman medya taşımayabilir. Listeyi „karşı tarafın öğrendiği budur“ diye okumak kanıtı abartır. Seçilen çift, oturumu gerçekten taşıyan çifttir ve başka bir alanda yaşar.

Bir HTTPS çıkış denetleyicisi bir başka soruyu yanıtlar: bir web sunucusunun o istek için gördüğü kaynak adres. Bu, UDP yansıtıcısından farklı bir protokol ve çoğu zaman farklı bir hedef kullandığı için yararlı bir çapraz kontroldür ve ikisi arasındaki uyuşmazlık genellikle hataya değil yönlendirme kuralına işaret eder.

Politikaya karar verin, sonra yanıtı okuyun

Testten önce niyeti yazın: hangi trafik tüneli kullanmalı, hangisi doğrudan çıkabilir, hangi adres aileleri kapsamdadır ve tünel kapalıyken ne olmalıdır. Bu temel çizgi olmadan her gözlem belirsizdir, çünkü bilerek izin verdiğiniz bir yoldan sızıntıyı ayıramazsınız.

Sonra her seferinde bir soru sorun. Bu hedef hangi yolu izler. Bu yansıtıcı hangi adresi bildirir. Oturum hangi aday çiftini seçti. Yanıtları politikanın yanında tutun ve tarih atın, çünkü bir ürün yazılımı güncellemesi varsayılan davranışı geçen yılın sonucunu sessizce geçersiz kılacak şekilde değiştirebilir.

Yönlendirici hâlâ güçlü bir yaptırım noktasıdır, çünkü bir istemcinin kendini yeniden yapılandırmadan atlayamayacağı trafiği görür. Bu, her uygulama protokolündeki her alanın hiçbir şey açığa çıkarmadığına dair bir söz değildir ve izin vermeyi seçtiğiniz yolları yazmanın yerini tutmaz.