Ping drwy VPN: pam na fydd rheolau ateb eco yn cyrraedd y llwybr dychwelyd

Anfonwch ping at westeiwr dros VPN a bydd'r cais yn gadael fel un math ICMP ac yn dychwelyd fel un arall, sy'n ddigon i ddrysu unrhyw reol a ysgrifennwyd yn nhermau pyrth. Nid oes porth gwasanaeth cyrchfan mewn cyfnewid eco i'w gopïo i'r rheol ddychwelyd, a bydd hidlwr sy'n disgwyl cymesuredd yn gollwng yr ateb tra bydd y cais yn llithro drwodd. Mae'r cywiriad yn dechrau drwy ddarllen y pecyn fel y mae mewn gwirionedd, yna drwy benderfynu pa ffin ar y llwybr sy'n gwneud y penderfyniad. Fel arfer mae dwy haen yn gweithio tra bod y drydedd yn gollwng yr ateb yn dawel. Mae'r adrannau isod yn eu gwahanu yn y drefn y mae pecyn yn eu cyfarfod.

Mae'r pecyn yn newid math, nid porth

Math ICMP 8, cod 0, yw cais eco, ac mae'n cario dynodwr a rhif dilyniant. Math 0, cod 0, yw'r ateb, gyda'r un dynodwr a'r un dilyniant, a'r penawdau IP wedi'u cyfnewid. Mae RFC 792 yn diffinio'r meysydd hynny, a'r dynodwr sy'n gadael i anfonwr baru atebion â'i geisiadau ei hun.

Mae'r hyn sydd ar goll yr un mor bwysig: nid oes pennawd TCP nac UDP, felly nid oes porth i'w ganiatáu. Mae rheol sy'n enwi porth ar gyfer ateb eco yn disgrifio pecyn na fydd byth yn bodoli. Dyma'r camgymeriad mwyaf cyffredin mewn tocynnau ping VPN. Mae'r rheol yn edrych yn benodol, yn berthnasol i ddim, ac yn gadael y methiant yn union lle'r oedd.

Mae tri chyd-destun yn penderfynu ar y pecyn

Os yw'r ping yn targedu gwesteiwr ar y LAN bell, rhaid i'r porth ddanfon y cais ymlaen. Os yw'n targedu cyfeiriad sy'n perthyn i'r porth ei hun, mae'n gorffen yn y llwybr mewnbwn lleol. Os y porth sy'n tarddu'r ping, mae'r pecyn yn cychwyn yn ei lwybr allbwn ei hun ac yn hollol osgoi'r penderfyniad anfon ymlaen.

Mae gan y tri chyd-destun hyn gadwyni rheolau a chyfrifwyr gwahanol, a'u trin fel un yw'r rheswm y gall «mae'r mur ffug yn caniatáu ICMP» roi ping aflwyddiannus o hyd. Mae'r twnnel allanol yn bedwerydd cyd-destun: nid yw caniatáu'r gwrandäwr VPN yn caniatáu'n awtomatig y cais mewnol sydd wedi'i ddadgapsiwleiddio, ac nid yw caniatâd mewnol yn dweud dim am ba un a yw'r twnnel allanol yn fyny.

Mae hidlwyr cyflwr a di-gyflwr yn trin yr ateb yn wahanol

Gall mur ffug cyflwr a welodd y cais yn gadael gysylltu'r ateb â'r llif hwnnw a'i dderbyn heb ail reol. Nid oes gan hidlwr di-gyflwr gof o'r fath, felly mae angen caniatâd penodol ei hun ar y cyfeiriad dychwelyd, gyda'r ffynhonnell a'r gyrchfan wedi'u gwrthdroi.

Gwiriwch ba fodel y mae'r cynnyrch yn ei weithredu mewn gwirionedd cyn ysgrifennu unrhyw beth. Nid yw rheol ar gyfer cais eco o reidrwydd yn cynnwys ateb eco, a gall cynnyrch sy'n olrhain ymholiadau ICMP roi polisi gwahanol i atebion sy'n cyrraedd rhyngwyneb arall.

Cyfyngwch beth bynnag a ganiatewch. Nid yw caniatáu pob ateb eco o unrhyw le yr un peth â chwblhau cysylltiad cyflwr, ac nid yw rhif math yn dilysu'r anfonwr.

Mae cyfieithu yn newid y dynodwr hefyd

Os yw cyfieithu ffynhonnell yn fwriadol, nid yw'r tuple yn y pen pell yn cyfateb i'r un a anfonodd y cleient. Gall NAT gyfieithu dynodwr ymholiad ICMP ynghyd â'r cyfeiriadau, felly mae mynnu bod yr un rhif yn ymddangos ar y ddwy ochr yn creu camgymhariad ffug.

Cysylltwch â'r mapio y mae'r cyfieithydd yn ei adrodd yn lle hynny. Ni fydd cyfieithydd sy'n ailysgrifennu'r dynodwr yn cadw'r rhif a gofnododd eich cleient, felly triniwch y mapio fel yr hunaniaeth yn hytrach na'r rhif. Yna dilynwch un cais adnabyddadwy drwy'r llwybr: cadarnhewch ei fod yn cyrraedd y gyrchfan gyda'r ffynhonnell a ddisgwylir, cadarnhewch fod y gyrchfan wedi anfon ateb, dilynwch lwybr yr ateb hwnnw yn ôl, a chadarnhewch fod y cleient wedi'i dderbyn yn hytrach na dim ond gwylio cyfrifydd porth yn codi.

Peidiwch â phlygu gwallau ICMP i mewn i'r polisi eco

Nid yw neges «angen darnio» a ddefnyddir gan ddarganfod MTU llwybr yn ateb eco, ac mae ei chynhwysydd yn dyfynnu'r pecyn a'i sbardunodd. Mae caniatâd eco-yn-unig sy'n taflu'r gwallau hynny'n dawel yn troi problem maint yn gysylltiad crog, sef y gwrthwyneb i ddefnyddiol.

Mae'r un rhybudd yn berthnasol i deuluoedd cyfeiriad. Mae ICMPv6 yn defnyddio mathau neges gwahanol ac yn cario swyddogaethau hanfodol nad oes gan IPv4, felly mae copïo'r rhifau hyn i reol IPv6 yn syml yn anghywir.

Pan fydd'r cyfnewid eco yn gweithio, profwch y rhaglen wirioneddol ar wahân. Mae ping llwyddiannus yn profi taith yno ac yn ôl un protocol ar un maint i un gyrchfan, ac nid yw'n drwydded i dybio bod HTTPS, SMB neu unrhyw lif arall yn cael ei ganiatáu.