firewall - STUN 协议：如何检测两次或双重 NAT 防火墙？

Question

STUN 的RFC 5780为服务器发送回请求客户端的 STUN 消息响应定义了 Response-Origin 属性。

它将其描述为：

RESPONSE-ORIGIN 属性由服务器插入，并指示发送响应的源 IP 地址和端口。它对于检测双 NAT 配置很有用。它仅存在于绑定响应中。

客户端如何使用服务器的源 IP 和端口来检测双重 NAT 配置？难道不能从 UDP 数据包的源字段中轻松读取源地址信息，因为入站 NAT 只重写目标地址而不是源地址？

Answer 1

服务器可以告诉两件事：

i) 它为您看到的 IP 地址。如果它与您的 IP 地址不匹配，则您知道您和服务器之间存在 NAT。你被翻译了。

ii) 它看到的远程对等点的 IP 地址，以及远程对等点与服务器通信的 IP 地址。如果它们不匹配，则远程对等点也在 NAT 后面。

因此，您可以确定您是否正在处理双 NAT 情况。

现在不要将这与例如您和服务器之间有两个 NAT 的情况相混淆。但在这种情况下，您无需担心，因为服务器将使用您从您到服务器的最后一个 NAT。