EHOSTUNREACH على Linux مع OpenVPN: أي قفزة تالية فشلت؟

EHOSTUNREACH قرار محلي بقدر ما هو فشل بعيد. يمكن للنواة أن ترفض حزمة لأن مسارًا يقول إن الوجهة غير قابلة للوصول، أو لأن القفزة التالية على Ethernet لم تُجب قط، أو لأن تقرير ICMP host-unreachable وصل من مكان أبعد على المسار. كل مصدر يعيش في جدول أو ذاكرة مؤقتة مختلفة، وكل واحد يُصلح في مكان مختلف. اقرأ المسار المحدد وحالة القفزة التالية قبل أن تلمس الشفرات أو تعيد تثبيت النفق.

اختر العنوان وفضاء الأسماء الذي يستخدمه العميل فعليًا

ابدأ بتثبيت الوجهة وفضاء أسماء الشبكة الذي أنتج الخطأ. قد يعمل عميل VPN في فضاء أسماء خاص به، والبحث من فضاء الأسماء الافتراضي يستشير جدول توجيه مختلفًا بقواعد سياسة مختلفة.

يجب أن يستخدم البحث سياق المصدر والعلامة والجدول نفسه الذي تستخدمه التطبيق الفاشل، وإلا فقد يجيب على سؤال لم يطرحه أحد. بالنسبة إلى نظير IPv4 توضيحي، تكون الفحوصات للقراءة فقط:

ip -4 route get 198.51.100.25
ip -4 neigh show 198.51.100.1
ip -4 route show table all | grep -w unreachable

النتيجة من صدفة إدارية تثبت فقط ما ستفعله تلك الصدفة. إذا ضبط العميل علامة جدار حماية أو ارتبط بـ VRF، فأعد البحث بالعلامة المطابقة أو داخل VRF، وقارن المسار المحدد والقفزة التالية. أول عنوان يجب تأكيده هو عنوان النظير في الملف الشخصي، لا العنقود أو الخدمة التي يسميها المستخدم.

مسار غير قابل للوصول صريح يرفض الحزمة محليًا

المسار من النوع unreachable إجابة محلية متعمدة. يطلب من النواة إسقاط الحزمة وإرجاع EHOSTUNREACH إلى المرسل، ولهذا يظهر الخطأ فورًا ودون أي حركة تغادر الجهاز. شخص ما، أو بعض الأتمتة، وضع ذلك المسار هناك عن قصد.

أنواع المسارات ليست قابلة للتبادل. blackhole يسقط الحزمة دون خطأ إلى المرسل، وprohibit يعيد EACCES، وunreachable يعيد EHOSTUNREACH. لذلك قد تُنتج أداة مساعدة VPN تُثبّت مسار حوض أثناء إعادة الاتصال دفعة من أخطاء host-unreachable تختفي بمجرد أن يصبح النفق جاهزًا، بينما يُنتج مسار blackhole مهلًا صامتة بدلًا من ذلك.

ابحث في جميع الجداول عن النوع قبل لوم الطرف البعيد. القاعدة التي تختار الجدول لا تقل أهمية عن المسار داخله، والمسار المضاف إلى الجدول الرئيسي لن يساعد عميلًا ترسل قاعدة سياسته حركته إلى مكان آخر.

جار ميت ينتج الخطأ نفسه على Ethernet

عندما يستخدم المسار المحدد بوابة على الوصلة، تحتاج التسليم إلى عنوان طبقة ربط محلول. ترسل النواة طلب ARP أو استعلام جار IPv6، وإذا لم يصل أي رد فلا يمكن تأطير الحزمة. ثم يفشل الإرسال بـ EHOSTUNREACH رغم أن المسار نفسه صالح.

يسمّي جدول الجيران المرحلة. INCOMPLETE يعني أن الحل ما زال جاريًا، وFAILED يعني أن المحاولة الأخيرة لم تحصل على رد، وREACHABLE أو STALE يعني أن لدى النواة عنوانًا صالحًا للاستخدام. مدخل FAILED لبوابة VPN مشكلة تسليم محلية، وليس دليلًا على الجانب البعيد من النفق.

اقرأ المدخل الخاص بالقفزة التالية الفعلية، لا الخاص بعنوان الإنترنت البعيد. عادة ما يُبلغ العنوان البعيد عبر موجّه، لذا لن يكون له سجل ARP خاص به؛ طلب واحد هو خطأ فئوي يجعل الناس يبحثون عن مدخل مفقود لم يكن من المفترض أن يوجد أصلًا.

التقارير البعيدة وأخطاء UDP غير المتزامنة

يمكن أن يصل EHOSTUNREACH من الخارج أيضًا. قد يرسل موجّه لا يستطيع تمرير الحزمة تقرير ICMP host unreachable، وتمرر النواة ذلك التقرير إلى المقبس الذي يملك التدفق. في هذه الحالة يكون المسار والجار سليمين، وينتمي الفشل إلى قفزة وراء الشبكة المحلية.

يجعل UDP الإسناد أصعب. الخطأ الذي يعيده استدعاء إرسال أو استقبال لاحق قد يشير إلى مخطط بيانات سابق، لذا قد لا يتطابق عنوان الاستدعاء الفاشل ووقته مع الحزمة التي أطلقت التقرير. المقبس UDP المتصل يتلقى الخطأ مرة واحدة، والمقبس غير المتصل قد لا يراه أبدًا.

لهذا ينتمي التوقيت إلى الأدلة. سجّل متى ظهر الخطأ، وأي عنوان نظير استخدمه المقبس، وما إذا كان النفق قد أعاد الاتصال للتو. دفعة بعد تغيير مسار مباشرة تشير إلى الجدول المحلي؛ وخطأ واحد بعد دقائق من تدفق مستقر يشير إلى تقرير مسار.

افصل الطبقات قبل تغيير التشفير

ثلاثة أسئلة تصنّف الخطأ. هل اختارت النواة مسارًا يرفض الوجهة؟ هل اختارت مسارًا صالحًا لكنها فشلت في حل القفزة التالية؟ أم وصل تقرير من وراء الشبكة المحلية؟ الحالة الثالثة وحدها يمكن أن تورّط الطرف البعيد للنفق، وحتى حينها لا تورّط التشفير.

تظهر مشاكل المصادقة والتفاوض كأخطاء خاصة بها بعد وصول النقل إلى النظير. تغيير شفرة أو إعادة تثبيت العميل لا يمكن أن يصلح مسار unreachable محليًا، وهو يدمّر أدلة المسار والجار التي ستحتاجها للسبب الحقيقي.

سجّل الوجهة وفضاء الأسماء والجدول المحدد والقفزة التالية وحالة الجار ووقت الخطأ قبل أول تغيير. أعد البحث نفسه بعد الإصلاح؛ فمسار يشير الآن إلى النفق ومدخل جار يُحل الآن دليل أقوى من نجاح ping إلى عنوان غير ذي صلة.