ICMP-omleidings teenoor jou VPN-roetes: wat werklik verander

’n Vloei wat deur die tonnel moet gaan, neem ’n ander volgende sprong, en iemand vind ’n ICMP-omleiding in ’n opname. Dit is ’n hipotese, nie ’n diagnose nie. ’n Omleiding is ’n router se voorstel oor ’n beter volgende sprong, en of die gasheer daarvolgens optree, hang af van instellings wat per platform, per koppelvlak en per adresfamilie verskil.

’n Omleiding is ’n voorstel van ’n router

IPv4 ICMP-omleidings het hul eie boodskaptipe en ’n nou stel voorwaardes: die router stuur ’n pakket uit deur die koppelvlak waarop dit aangekom het, en hy ken ’n volgende sprong op dieselfde skakel wat nader aan die bestemming is. Daarna sê dit vir die sender om daardie volgende sprong direk te gebruik. Die boodskap noem die nuwe poort en sluit ’n deel van die oorspronklike pakket in sodat die sender dit met ’n vloei kan pas. Dit is ’n hoflikheidsboodskap oor plaaslike topologie, en dit neem aan dat die sender ’n skakel met die voorgestelde poort deel.

Die sender is vry om dit te ignoreer. Niks in die protokol vereis dat ’n gasheer sy tabel verander nie, en ’n vasgevangde omleiding bewys net dat ’n router een gestuur het.

Daardie onderskeid is waar die meeste ondersoeke na omleidings verkeerd loop.

IPv4 en IPv6 lewer dit verskillend

IPv6 het ’n soortgelyke meganisme binne buurontdekking eerder as in ICMPv4, met ander boodskapformate en ander valideringsreëls. Die begrippe rym, maar die pakkette nie. ’n Opnamefilter wat vir ICMP tipe 5 geskryf is, sal niks op ’n IPv6-netwerk wys nie, wat soms gelees word as bewys dat geen omleiding plaasgevind het nie.

Die beleidsknoppies is ook afsonderlik, so ’n gasheer kan IPv4-omleidings aanvaar en IPv6 s’n ignoreer, of omgekeerd.

Kontroleer albei families as die betrokke vloei enigeen van hulle kan gebruik.

Aanvaarding is ’n gasheerbeleid, nie ’n netwerkfeit nie

Op Linux word die aanvaarding van omleidings per koppelvlak en globaal beheer, en die verstekwaardes verskil tussen gasheer- en routerrolle. ’n Tonnelkoppelvlak wat omleidings aanvaar, is ’n vreemde ontwerp, want daar is geen sinvolle alternatiewe volgende sprong op dieselfde skakel binne ’n punt-tot-punt-tonnel nie. Dit maak die instelling die moeite werd om na te lees eerder as om dit te aanvaar.

Instellings vir veilige omleidings beperk verder watter poorte geglo mag word.

As jy ’n gasheer strenger maak, is dit die knoppies om na te gaan, en dit is ook hoekom twee masjiene op dieselfde netwerk anders kan optree. Verander hulle as beleid, nie as ’n ontfoutingskortpad nie.

Wat ’n omleiding nie kan verduidelik nie

Spesifieke roetes, beleidsroeteringsreëls en plaaslike koppelvlakke verduidelik die meeste onverwagte paaie sonder enige omleiding. ’n Meer spesifieke voorvoegsel, ’n reël wat by die bronadres pas, of ’n tweede verstek in ’n ander tabel sal elkeen die roete wat jy verwag het, oorheers. Kontroleer dit eerste, want dit is deterministies en sigbaar.

Verouderde opnames is die ander lokval, want ’n kliënt wat van netwerk verander het, het ’n ander plaaslike poort.

’n Ou omleiding van die vorige aansluiting verduidelik niks oor die huidige pad nie, so teken aan watter koppelvlak die beheerverkeer nou ontvang.

Kontroleer die roete voordat jy die tonnel blameer

Vra die kern watter roete hy vir die bestemming sou gebruik, en vergelyk dit dan met die tabel wat jy bedoel het. As die antwoord by die tabel pas, het geen omleiding iets verander nie en hoort die ondersoek elders. As dit nie pas nie, soek ’n gekaste omleiding, ’n beleidsreël of ’n tweede tabel voordat jy aanvaar die tonnel is skuldig. Die opsoek is die grondwaarheid, en alles anders is ’n verhaal oor hoe dit daar gekom het.

’n Omleiding moet nooit die rede wees waarom ’n beskermde pad stilweg ’n onbeskermde een word nie, en daarom hoort aanvaardingsbeleid in die ontwerphersiening. RFC 792-definisie bly die verwysing vir wat die IPv4-boodskap mag sê.

Skryf die roeteopsoek en die opnametydstempel saam neer, dan kan die volgende persoon jou gevolgtrekking herhaal.