Zašto traceroute umire u jednom smjeru kroz VPN tunel

Izlaz traceroute-a koji se završi u jednom smjeru, a u drugom ispiše redove zvjezdica, izgleda kao asimetrično prosljeđivanje, a obično nije. Svaki prikazani hop zahtijeva da sonda stigne, da usmjerivač odluči odgovoriti i da odgovor otputuje natrag i upari se sa sondom. Prekinite bilo koju od tih veza i red postaje zvjezdica, dok tunel nastavlja prenositi podatke.

Trag je dokaz o dijagnostici prije nego dokaz o transportu. Pitanje koje vrijedi postaviti jeste koja od tri veze nije uspjela, a odgovor dolazi iz paketa, a ne iz oblika izlaza.

Zvjezdica je odgovor koji nedostaje, a ne hop koji nedostaje

Traceroute ide prema van šaljući sonde čiji TTL istječe jedan usmjerivač dalje svakog kruga. Usmjerivač koji odbaci isteklu sondu trebao bi vratiti poruku ICMP Time Exceeded s vlastitim imenom, a alat ispisuje to ime. Alat zapravo čeka da ta poruka stigne unutar vremenskog ograničenja. Ako usmjerivač odgovori s druge izvorne adrese, ograniči koliko često stvara greške ili odbaci sondu bez riječi, krug ne daje ništa za ispis.

Nijedan od tih ishoda ne kaže da je prednja putanja pokvarena. Zvjezdica je izvještaj o neodgovorenoj pošti, a ne o praznom putu.

Metoda sonde odlučuje na koji filter nailazite

Zadana metoda na Linuxu obično je UDP odredišni port s visokim brojem, Windows tracert šalje ICMP odjeke, a Linuxu se može reći da umjesto toga koristi ICMP ili TCP. Svaki od njih izgleda kao druga vrsta prometa za stateful firewall ili sigurnosnu grupu u oblaku. Poređenje UDP traga s jedne strane s ICMP tragom s druge strane poredi dva različita eksperimenta. Fiksirajte metodu, porodicu adresa, izvornu adresu i vremensko ograničenje prije nego rezultate nazovete razlikom.

Za pošteno poređenje pokrenite trag s hostova koji stvarno nose promet, a ne s pristupnika koji prosljeđuje u njihovo ime. Trag koji generiše usmjerivač koristi vlastitu izvornu adresu i izlaznu politiku, koje mogu biti strože od svega što klijent vidi. Zapišite tačnu komandu da je sljedeća osoba može ponoviti.

Vrijednost vremenskog ograničenja je druga polovina eksperimenta i lako ispadne iz bilješki. Čekanje od dvije sekunde na zagušenoj putanji prijavljuje zvjezdice tamo gdje čekanje od pet sekundi prijavljuje hopove. Držite vrijednost istom u svim pokretanjima da poređenje ostane o mreži.

Povratna putanja je vlastita ruta

ICMP greška je običan paket s vlastitim izvorom i odredištem i treba joj ruta natrag do tragača. Ako politika tunela nosi LAN prefikse ali ne adresu usmjerivača koji je generisao grešku, poruka izlazi putanjom koja vas ne može dosegnuti. Filtriranje odgovora može je odbaciti čak i kad ruta postoji, jer paket dolazi s neočekivane adrese na neočekivanom interfejsu. To je nesklad u dijagnostičkoj ravni, a ne kvar aplikacije.

Proširivanje svakog selektora dok se trag ne završi čini sliku ljepšom, a politiku gorom. Popravite konkretnu dijagnostičku adresu ili prihvatite zvjezdicu i testirajte aplikaciju na drugi način.

Potvrdite tunel stvarnim zahtjevom

TCP rukovanje na vlastitom portu usluge provjerava prosljeđivanje, povratno usmjeravanje i filtriranje u smjeru koji je važan. Komande ispod rade na oba kraja i porede šta svaka strana može otvoriti. Zamijenite port usluge i naziv interfejsa tunela iz vlastitog podešavanja.

traceroute -I -n -w 2 203.0.113.40
traceroute -T -p 443 -n -w 2 203.0.113.40
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' --max-time 5 http://203.0.113.40:8080/health
ss -tan state established

Prvo pročitajte dva pokretanja traceroute-a: ako ICMP pokretanje pokazuje hopove, a TCP pokretanje ne, razlika je u metodi, ne u putanji. Zatim uzmite rezultat curl-a kao odgovor na nivou aplikacije, jer završena razmjena sa smislenim statusnim kodom znači da prednja i povratna putanja rade za stvarni promet. Popis socketa pokazuje je li veza uopšte uspostavljena, što vam nijedan trag ne može reći.

Tunel koji nosi interaktivnu sesiju u oba smjera dok jedan traceroute ispisuje zvjezdice je zdrav i samo nefotogeničan. Čuvajte izlaz komandi sa svake strane kao zapis i tretirajte hopove koji nedostaju kao otvoreno pitanje o dijagnostici, a ne kao presudu o VPN-u.