Pam mae blocio pob ICMP yn torri llwybr VPN sy'n gweithio
Nid atebion ping yw negeseuon adborth maint. Pan na fyddant byth yn cyrraedd, mae pecynnau bach yn llwyddo, mae rhai mawr yn diflannu, ac mae'r twnnel yn edrych fel petai'n crynu.
Mae twnnel sy'n dilysu, yn cario ping ac yna'n hongian ar y trosglwyddiad mawr cyntaf yn arwydd clasurol o neges ICMP ar goll yn hytrach na VPN wedi torri. Ni fydd yr anfonwr byth yn dysgu bod pecyn yn rhy fawr, mae'n ailgynnig yr un maint, ac mae'r cymhwysiad yn aros. Penderfyniad polisi wal dân yw trwsio hyn, nid ailosod y cleient. Mae'r drefn yn bwysig: mesurwch ble mae'r ffin maint, yna culhewch y rheol a lyncodd yr adroddiad.
Beth mae ICMP yn ei gario ar y llwybr hwn
Darganfod MTU llwybr IPv4 yn dibynnu ar lwybrydd yn adrodd na ellid anfon pecyn gyda'r did don't-fragment wedi'i osod. Neges ICMP Fragmentation Needed yw'r adroddiad hwnnw, ac hebddi nid oes gan yr anfonwr reswm i leihau maint ei segment. Mae IPv6 yn llymach: nid yw llwybryddion yn rhannu mewn tramwyfa, felly neges ICMPv6 Packet Too Big yw'r unig signal sy'n gwneud i'r anfonwr grebachu.
Mae'r ddwy neges yn adborth awyren reoli, ac nid yw'r naill na'r llall yn atsain ddiagnostig. Mae polisi sy'n blocio ping a pholisi sy'n blocio pob ICMP yn edrych yn debyg mewn rhestr rheolau ond yn ymddwyn yn wahanol iawn ar y wifren. Gall yr ail droi twnnel wedi'i fesur yn gywir yn llwybr un ffordd ar gyfer unrhyw beth sy'n fwy na'r ddolen leiaf yn y gadwyn.
Mae rhai trafnidiaeth yn gweithredu eu darganfyddiad eu hunain gyda phecynnau prawf, fel y mae RFC 4821 yn disgrifio, ac maent yn dibynnu llai ar yr adborth hwn. Dadl dros wirio pa drafnidiaeth rydych yn ei rhedeg yw hyn, nid dros dybio bod pob twnnel yn imiwn.
| Neges | Pwrpas ar y llwybr | Os caiff ei blocio |
|---|---|---|
| ICMPv4 math 3 cod 4 | Roedd y pecyn yn rhy fawr ar gyfer y ddolen nesaf | Mae'r anfonwr yn ailgynnig ac yn hongian |
| ICMPv6 math 2 | Packet Too Big, y cyfwerth IPv6 | Yr un hongian, heb unrhyw gefnffordd rannu |
| ICMP math 11 | Amser wedi mynd heibio, defnyddir gan traceroute | Mae diagnosteg yn colli naid, mae traffig yn dal i lifo |
| Cais ac ateb atsain ICMP | Prawf cyrhaeddiad | Mae ping yn methu, gall y llwybr fod yn iawn |
Mae'r methiant yn dibynnu ar faint
Gofynnwch a yw'r methiant yn cydberthyn â maint pecyn. Mae tudalen mewngofnodi, ymholiad DNS ac alwad API fer yn llwyddo tra bod llwytho ffeil, ymateb mawr neu lawrlwytho delwedd yn hongian. Mae'r patrwm hwnnw'n awgrymu terfyn maint yn rhywle rhwng y ddau ben yn hytrach nag ardystio neu lwybro. Nid yw ping bach llwyddiannus yn dweud fawr ddim am ble mae'r ffin honno.
Y tu mewn i dwnnel mae dwy haen i'w hystyried: y pecyn llwyth defnyddiol a'r pecyn allanol wedi'i amgáu. Gall yr anfonwr mewnol ymddwyn yn gywir tra bod y llwybr allanol yn llai nag y mae'r twnnel yn tybio, a dyna pam mae gosodiad MTU y twnnel ei hun a'r ddolen ffisegol oddi tano ill dau yn bwysig.
Mesurwch cyn golygu rheolau
Prawfwch gyda'r did don't-fragment a maint llwyth defnyddiol o'ch dewis, o'r cleient sy'n methu tuag at gyfeiriad gwarchodedig:
ping -M do -s 1472 10.20.5.7
ping -M do -s 1300 10.20.5.7Mae llwyth defnyddiol o 1472 beit ynghyd â 28 beit o benawdau yn becyn o 1500 beit. Os bydd y prawf mawr yn methu â gwall darnio a'r un bach yn pasio, rydych wedi dod o hyd i'r ffin; addaswch ar gyfer gorbenion y twnnel ac ailadroddwch nes bod y maint gweithiol yn sefydlog.
Yna cadarnhewch mai'r adroddiad ei hun yw'r bwlch. Os bydd y prawf yn methu'n dawel, heb wall na chyfateb, mae'n debyg bod y neges yn cael ei gollwng yn hytrach na'i chyflwyno, a'r rheol yw'r un dan amheuaeth.
Culhewch y rheol, yna ailbrofwch y dasg
Dylai'r cywiriad ganiatáu'r negeseuon rheoli penodol, nid y protocol cyfan. Ar westeiwr iptables y ffurf yw caniatâd penodol i fath; addaswch y cystrawen at beth bynnag sy'n rheoli'r wal dân ar eich platfform:
iptables -I INPUT -p icmp --icmp-type fragmentation-needed -j ACCEPT
ip6tables -I INPUT -p icmpv6 --icmpv6-type packet-too-big -j ACCEPTCadwch atebion atsain wedi'u blocio os mai dyna'r polisi lleol, gan nad yw'r llwybr eu hangen. Yna ailbrofwch y trosglwyddiad a fethodd yn wreiddiol, o gysylltiad newydd, a chadarnhewch fod rhifyddion y rheol yn dangos y negeseuon yn cyrraedd.
Os yw'r trosglwyddiad mawr yn dal i hongian ar ôl caniatáu'r negeseuon, mae'r terfyn sy'n weddill yn rhywle arall: MTU twnnel wedi'i osod yn rhy uchel, dirprwy sy'n ailysgrifennu pecynnau, neu flwch canol sy'n gollwng yn hytrach nag adrodd. Roedd y rheol ICMP yn angenrheidiol, nid yn ddigonol.