Linux EHOSTUNREACH OpenVPN ilə: hansı növbəti hop uğursuz oldu?

EHOSTUNREACH uzaq uğursuzluq qədər tez-tez yerli qərardır. Nüvə paketi rədd edə bilər, çünki marşrut təyinatın əlçatmaz olduğunu bildirir, Ethernet növbəti hopu heç cavab vermədi və ya yolun daha irəlidəki hissəsindən ICMP host-unreachable hesabatı gəldi. Hər mənbə fərqli cədvəldə və ya keşdə yaşayır və hər biri fərqli yerdə düzəldilir. Şifrələrə toxunmadan və ya tuneli yenidən quraşdırmadan əvvəl seçilmiş marşrutu və növbəti hopun vəziyyətini oxuyun.

Müştərinin həqiqətən istifadə etdiyi ünvanı və ad məkanını seçin

Xətanı yaradan təyinatı və şəbəkə ad məkanını tespit etməklə başlayın. VPN müştərisi öz ad məkanında işləyə bilər və defolt ad məkanından aparılan axtarış fərqli siyasət qaydaları olan başqa marşrut cədvəlinə müraciət edir.

Axtarış uğursuz tətbiqlə eyni mənbə, işarə və cədvəl kontekstindən istifadə etməlidir, əks halda heç kimin vermədiyi suala cavab verə bilər. İllüstrativ IPv4 həmyaşıdı üçün yalnız oxuma yoxlamaları bunlardır:

ip -4 route get 198.51.100.25
ip -4 neigh show 198.51.100.1
ip -4 route show table all | grep -w unreachable

İnzibati qabıqdan alınan nəticə yalnız həmin qabığın nə edəcəyini sübut edir. Müştəri firewall işarəsi qoyursa və ya VRF-ə bağlanırsa, axtarışı uyğun işarə ilə və ya VRF daxilində təkrarlayın və seçilmiş marşrutu və növbəti hopu müqayisə edin. Təsdiqlənəcək ilk ünvan profildəki həmyaşıd ünvanıdır, istifadəçinin adlandırdığı klaster və ya xidmət deyil.

Açıq əlçatmaz marşrut paketi yerli olaraq rədd edir

unreachable tipli marşrut qəsdən verilmiş yerli cavabdır. Nüvəyə paketi atmağı və göndərənə EHOSTUNREACH qaytarmağı tapşırır, buna görə xəta dərhal və maşından heç bir trafik çıxmadan görünür. Kimsə və ya hansısa avtomatlaşdırma həmin marşrutu qəsdən oraya qoyub.

Marşrut tipləri bir-birini əvəz etmir. Blackhole paketi göndərənə xəta vermədən atır, prohibit EACCES qaytarır, unreachable isə EHOSTUNREACH qaytarır. Buna görə yenidən qoşulma zamanı sink marşrutu quraşdıran VPN köməkçisi tunel qalxan kimi yox olan host-unreachable xətaları dalğası yarada bilər, blackhole marşrutu isə əvəzində səssiz fasilələr yaradardı.

Uzaq tərəfi günahlandırmadan əvvəl bütün cədvəllərdə tipi axtarın. Cədvəli seçən qayda içindəki marşrut qədər vacibdir və əsas cədvələ əlavə edilən marşrut siyasət qaydası trafikini başqa yerə göndərən müştəriyə kömək etməyəcək.

Ölü qonşu Ethernet-də eyni xətanı yaradır

Seçilmiş marşrut linkdə olan şlüz istifadə edirsə, çatdırılma üçün həll edilmiş keçid qatı ünvanı lazımdır. Nüvə ARP və ya IPv6 qonşu sorğusu göndərir və cavab gəlməzsə paket çərçivəyə salına bilməz. Sonra göndərmə marşrutun özü etibarlı olsa da EHOSTUNREACH ilə uğursuz olur.

Qonşu cədvəli mərhələni adlandırır. INCOMPLETE həllin hələ davam etdiyini, FAILED son cəhdin cavab almadığını, REACHABLE və ya STALE isə nüvənin istifadə edilə bilən ünvanı olduğunu bildirir. VPN şlüzü üçün FAILED qeydi yerli çatdırılma problemidir, tunelin uzaq tərəfi haqqında sübut deyil.

Qeydi faktiki növbəti hop üçün oxuyun, uzaq internet ünvanı üçün deyil. Uzaq ünvana adətən marşrutlaşdırıcı vasitəsilə çatılır, ona görə onun öz ARP qeydi olmayacaq; bunu istəmək heç vaxt mövcud olmamalı olan itkin qeydi axtarmağa göndərən kateqoriya səhvidir.

Uzaq hesabatlar və asinxron UDP xətaları

EHOSTUNREACH xaricdən də gələ bilər. Paketi yönləndirə bilməyən marşrutlaşdırıcı ICMP host unreachable göndərə bilər və nüvə bu hesabatı axını sahibləyən soketə ötürür. Bu halda marşrut və qonşu qaydasındadır və uğursuzluq yerli şəbəkədən kənardakı hopa aiddir.

UDP atribusiyanı çətinləşdirir. Sonrakı göndərmə və ya qəbul çağırışının qaytardığı xəta əvvəlki datagrama aid ola bilər, ona görə uğursuz çağırışın ünvanı və vaxtı hesabatı tetikləyən paketlə uyğun gəlməyə bilər. Qoşulmuş UDP soketi xətanı bir dəfə alır, qoşulmamış soket isə onu heç görməyə bilər.

Buna görə vaxt sübutun tərkibinə aiddir. Xətanın nə vaxt göründüyünü, soketin hansı həmyaşıd ünvanını istifadə etdiyini və tunelin təzəcə yenidən qoşulub-qoşulmadığını qeyd edin. Marşrut dəyişikliyindən dərhal sonra dalğa yerli cədvələ işarə edir; sabit axının bir neçə dəqiqəsində tək xəta yol hesabatına işarə edir.

Kriptonu dəyişməzdən əvvəl qatları ayırın

Üç sual xətanı təsnif edir. Nüvə təyinatı rədd edən marşrut seçdimi? Etibarlı marşrut seçdi, amma növbəti hopu həll edə bilmədimi? Yoxsa yerli şəbəkədən kənardan hesabat gəldi? Yalnız üçüncü hal tunelin uzaq ucunu iştirak etdirə bilər və hətta o zaman şifrələməni iştirak etdirmir.

Autentifikasiya və danışıq problemləri nəqliyyat həmyaşıda çatdıqdan sonra öz xətaları kimi ortaya çıxır. Şifrəni dəyişmək və ya müştərini yenidən quraşdırmaq yerli unreachable marşrutu düzəldə bilməz və həqiqi səbəb üçün lazım olan marşrut və qonşu sübutlarını məhv edir.

İlk dəyişiklikdən əvvəl təyinatı, ad məkanını, seçilmiş cədvəli, növbəti hopu, qonşu vəziyyətini və xəta vaxtını qeyd edin. Düzəlişdən sonra eyni axtarışı yenidən aparın; artıq tunelə işarə edən marşrut və artıq həll olunan qonşu qeydi əlaqəsiz ünvana uğurlu pingdən daha güclü sübutdur.