Redireccions ICMP davant de les rutes VPN: què canvia realment

Un flux que hauria de travessar el túnel agafa un salt següent diferent, i algú troba una redirecció ICMP en una captura. Això és una hipòtesi, no un diagnòstic. Una redirecció és un suggeriment del router sobre un salt següent millor, i si l'amfitrió hi actua depèn de paràmetres que difereixen segons la plataforma, la interfície i la família d'adreces.

Una redirecció és un suggeriment del router

Les redireccions ICMP d'IPv4 tenen el seu propi tipus de missatge i un conjunt estret de condicions: el router reenvia un paquet per la interfície per la qual va arribar, i coneix un salt següent en aquest mateix enllaç més a prop de la destinació. Després diu a l'emissor que faci servir aquell salt següent directament. El missatge anomena la nova passarel·la i inclou part del paquet original perquè l'emissor el pugui aparellar amb un flux. És un missatge de cortesia sobre la topologia local, i assumeix que l'emissor comparteix un enllaç amb la passarel·la suggerida.

L'emissor és lliure d'ignorar-la. Res del protocol no obliga un amfitrió a canviar la seva taula, i una redirecció capturada només demostra que un router n'ha enviat una.

Aquesta distinció és on la majoria d'investigacions de redireccions van malament.

IPv4 i IPv6 la lliuren de manera diferent

IPv6 té un mecanisme anàleg dins del descobriment de veïns en lloc d'ICMPv4, amb formats de missatge i regles de validació diferents. Els conceptes rimen i els paquets no. Un filtre de captura escrit per a ICMP tipus 5 no mostrarà res en una xarxa IPv6, cosa que de vegades es llegeix com a prova que no hi va haver cap redirecció.

Els paràmetres de política també són separats, així que un amfitrió pot acceptar redireccions IPv4 i ignorar les d'IPv6, o al revés.

Comproveu les dues famílies si el flux en qüestió podria fer servir qualsevol de les dues.

L'acceptació és una política de l'amfitrió, no un fet de la xarxa

A Linux, l'acceptació de redireccions es controla per interfície i globalment, i els valors per defecte difereixen entre els papers d'amfitrió i de router. Una interfície de túnel que accepta redireccions és un disseny estrany, perquè dins d'un túnel punt a punt no hi ha cap salt següent alternatiu significatiu al mateix enllaç. Això fa que valgui la pena llegir el paràmetre en lloc de suposar-lo.

Els paràmetres de redirecció segura restringeixen encara més quines passarel·les es poden creure.

Si esteu endurint un amfitrió, aquests són els paràmetres a revisar, i també són la raó per la qual dues màquines a la mateixa xarxa es poden comportar de manera diferent. Canvieu-los com a política, no com a drecera de depuració.

Què no pot explicar una redirecció

Les rutes específiques, les regles d'encaminament per política i les interfícies locals expliquen la majoria de camins inesperats sense cap redirecció. Un prefix més específic, una regla que coincideix amb l'adreça d'origen, o un segon valor per defecte en una altra taula cadascun superarà la ruta que esperàveu. Comproveu-los primer, perquè són deterministes i visibles.

Les captures antigues són l'altra trampa, perquè un client que ha canviat de xarxa té una passarel·la local diferent.

Una redirecció antiga de l'adjunció anterior no explica res sobre el camí actual, així que anoteu quina interfície rep ara el trànsit de control.

Comproveu la ruta abans de culpar el túnel

Pregunteu al nucli quina ruta faria servir per a la destinació, i després compareu-ho amb la taula que volíeu. Si la resposta coincideix amb la taula, cap redirecció ha canviat res i la investigació pertany a un altre lloc. Si no coincideix, busqueu una redirecció en memòria cau, una regla de política o una segona taula abans de suposar que el túnel té la culpa. La consulta és la veritat de base, i tota la resta és una història sobre com hi va arribar.

Una redirecció no hauria de ser mai la raó perquè un camí protegit esdevingui silenciosament un de no protegit, i per això la política d'acceptació pertany a la revisió de disseny. La definició de l'RFC 792 continua sent la referència del que el missatge IPv4 pot dir.

Escriviu la consulta de ruta i la marca de temps de la captura juntes, i la propera persona podrà reproduir la vostra conclusió.