VPN routerda ishlaganda STUN javobi nimani oshkor qiladi
Routerning tunnel manzili brauzerning mahalliy manzili emas. Reflektor nima xabar berishini o’qishdan oldin har bir so’rov qanday yo’naltirilishi va tarjima qilinishini kuzatib boring.
Tunnel routerda joylashganda, brauzerni ishga tushiruvchi mashinada tunnel interfeysi umuman bo’lmaydi. O’sha mashinadan uning mahalliy manzillarini so’rang va siz xususiy LAN manzili hamda qaytish halqasini olasiz, VPN manziliga o’xshash hech narsa yo’q. Shunga qaramay, narigi tomondagi STUN serveri yo’l haqida hali ham mazmunli bir narsa xabar berishi mumkin va u nima xabar berishi aynan o’sha so’rov qanday yo’naltirilgani va tarjima qilinganiga to’liq bog’liq.
Sekinlashishga arziydigan qism ana shu. „Brauzer VPN manziliga ega emas“ degani interfeyslar haqidagi savolga javob beradi, aks etgan manzil esa tarjima orqali o’tadigan yo’l haqidagi javobdir. Ikkalasini aralashtirish dalillar qo’llab-quvvatlamaydigan oshkor qilish haqida ishonchli xulosalar tug’diradi.
Ikki qurilma, interfeyslarning ikki to’plami
Routerga asoslangan sozlamada tunnel routerda tugaydi va LAN mijozi oddiy trafikni o’zining standart shlyuziga yuboradi. Mijozning interfeyslar ro’yxati qisqa bo’lib qoladi: bitta xususiy manzil, balki boshqa tarmoq uchun ikkinchisi va qaytish halqasi. Xavf ulardan biri tasodifan tunnel manzili bo’lishida emas; xavf so’rov siz tanlamagan yo’ldan chiqishida.
Qaysi interfeyslar borligini so’rash o’rniga mijozdan muayyan manzil qaysi yo’lni olishini so’rang. Javob shlyuzni va yadro ishlatadigan manba manzilini nomlaydi, bu esa har qanday manzillar ro’yxatidan ko’ra ma’lumotliroq.
ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ipsHujjat diapazonlari sinov manzillari uchun yaxshi, chunki ular hech qachon haqiqiy xizmatga hal bo’lmaydi. Mijoz aytganini router aytgani bilan solishtiring va har qanday nomuvofiqlikni siyosat yo’naltirishi, bo’lingan tunnel qoidasi yoki ikkinchi standart yo’l siz hisobga olmagan narsani qilayotganining dalili deb biling.
Binding javobi nima deyishi mumkin
RFC 8489 Binding so’rovi va javobini belgilaydi, unda server o’sha so’rov uchun kuzatgan manba transport manzilini xabar qiladi. Bu bir lahzada bitta beshlik haqidagi bayonot, mijoz interfeyslarining ro’yxati emas. Shuning uchun qiziqarli hamma narsa mijoz va kuzatish nuqtasi o’rtasida sodir bo’ladi.
Bu bo’shliqni yo’naltirish va tarjima to’ldiradi. Chiquvchi trafikda manba NAT qiladigan router mijozning xususiy manbasini chiqish interfeysidagi o’z manzili bilan almashtiradi. Agar o’sha interfeys tunnel bo’lsa, reflektor tunnel manzilini ko’radi. Agar paket tunneldan chiqarib tashlangan bo’lsa, reflektor WAN tarjimasi yaratganini ko’radi. O’sha mijoz, o’sha reflektor, boshqa javob.
O’xshash ko’rinadigan, ammo bunday bo’lmagan uchta holat
Foydali farq ommaviy va xususiy o’rtasida emas, balki paketni qaysi ijro nuqtasi ko’rib chiqqanida. Holatlarni routerning o’z jadvallari ochiq holda ko’rib chiqing, chunki bitta brauzer uchtasini ham yozishni unutgan qoidangizga qarab yaratishi mumkin.
| Where the request leaves | What rewrites the source | What the reflector reports |
|---|---|---|
| Tunnel interface on the router | Router NAT towards the tunnel address | The tunnel address as seen on that path |
| WAN interface, excluded by policy | Ordinary WAN translation | The public WAN address |
| Private reflector reached through the tunnel route | Router NAT towards the tunnel address | An internal identifier valid only inside that path |
Faqat ikkinchi holat ba’zi trafik hech qachon to’g’ridan-to’g’ri chiqmasligi haqidagi talabni buzadi va faqat birinchi hamda uchinchisi tunnel tarafidagi identifikatorni oshkor qiladi. Uch qatordan hech biri muayyan provayderning xulq-atvori haqidagi da’vo emas: xususiy reflektorga umuman yetib borish yo’naltirishga, narigi tomonning ruxsat etilgan IP manzillariga va ikkala uchdagi xavfsizlik devori siyosatiga bog’liq.
O’sha provayderda hisobga ega bo’lish bularning hech birini isbotlamaydi. Yo’naltirilgan so’rov, agar hech narsa uni tarjima qilmasa, mijozning LAN manbasini saqlab qolishi mumkinligini ham yodda tutish kerak, shuning uchun manba maydonini topologiya chizmasidan taxmin qilmasdan kuzatish zarur.
To’plash tanlash emas
WebRTC sinab ko’rish uchun nomzod manzillarni to’playdi va diagnostika ro’yxatida ko’ringan nomzod hech qachon media tashimasligi mumkin. Ro’yxatni „narigi tomon buni o’rgandi“ deb o’qish dalilni oshirib yuboradi. Tanlangan juftlik sessiyani haqiqatda tashigan juftlik bo’lib, u boshqa maydonda joylashgan.
HTTPS chiqish tekshiruvchisi yana bir savolga javob beradi: veb-server o’sha so’rov uchun ko’rgan manba manzil. Bu foydali o’zaro tekshiruv, chunki u UDP reflektoridan boshqa protokol va ko’pincha boshqa manzildan foydalanadi, ikkalasi orasidagi nomuvofiqlik esa odatda xatoga emas, yo’naltirish qoidasiga ishora qiladi.
Siyosatni belgilang, so’ng javobni o’qing
Sinovdan oldin niyatni yozib qo’ying: qaysi trafik tunneldan foydalanishi kerak, qaysi biri to’g’ridan-to’g’ri chiqishi mumkin, qaysi manzil oilalari qamrovda va tunnel ishlamay qolganda nima bo’lishi kerak. Bu asosiy chiziqsiz har bir kuzatuv noaniq, chunki siz ataylab ruxsat bergan yo’ldan sizib chiqishni ajrata olmaysiz.
So’ng bir vaqtda bitta savol bering. Bu manzil qaysi yo’lni oladi. Bu reflektor qaysi manzilni xabar qiladi. Sessiya qaysi nomzod juftligini tanladi. Javoblarni siyosat yonida saqlang va sanasini qo’ying, chunki proshivka yangilanishi standart xulq-atvorni o’tgan yilgi xulosani jimgina bekor qiladigan tarzda o’zgartirishi mumkin.
Router hali ham kuchli ijro nuqtasi, chunki u mijoz o’zini qayta sozlamasdan chetlab o’ta olmaydigan trafikni ko’radi. Bu har bir amaliy protokolning har bir maydoni hech narsani oshkor qilmaydi degan va’da emas va ruxsat berishni tanlagan yo’llaringizni yozib qo’yishning o’rnini bosmaydi.