Ανακατευθύνσεις ICMP έναντι των διαδρομών VPN σας: τι αλλάζει πραγματικά

Μια ροή που θα έπρεπε να διασχίσει το τούνελ παίρνει διαφορετικό επόμενο άλμα, και κάποιος βρίσκει μια ανακατεύθυνση ICMP σε μια καταγραφή. Αυτό είναι υπόθεση, όχι διάγνωση. Η ανακατεύθυνση είναι πρόταση του δρομολογητή για καλύτερο επόμενο άλμα, και το αν ο κεντρικός υπολογιστής ενεργεί βάσει αυτής εξαρτάται από ρυθμίσεις που διαφέρουν ανά πλατφόρμα, ανά διεπαφή και ανά οικογένεια διευθύνσεων.

Η ανακατεύθυνση είναι πρόταση από τον δρομολογητή

Οι ανακατευθύνσεις ICMP του IPv4 έχουν δικό τους τύπο μηνύματος και ένα στενό σύνολο προϋποθέσεων: ο δρομολογητής προωθεί ένα πακέτο από τη διεπαφή από την οποία έφτασε, και γνωρίζει ένα επόμενο άλμα στο ίδιο ζεύγος που είναι πιο κοντά στον προορισμό. Έπειτα λέει στον αποστολέα να χρησιμοποιήσει απευθείας αυτό το επόμενο άλμα. Το μήνυμα ονομάζει τη νέα πύλη και περιλαμβάνει μέρος του αρχικού πακέτου ώστε ο αποστολέας να μπορεί να το αντιστοιχίσει σε μια ροή. Είναι μήνυμα ευγένειας για την τοπική τοπολογία, και προϋποθέτει ότι ο αποστολέας μοιράζεται ζεύγος με την προτεινόμενη πύλη.

Ο αποστολέας είναι ελεύθερος να την αγνοήσει. Τίποτα στο πρωτόκολλο δεν απαιτεί από έναν κεντρικό υπολογιστή να αλλάξει τον πίνακά του, και μια καταγεγραμμένη ανακατεύθυνση αποδεικνύει μόνο ότι ένας δρομολογητής έστειλε μία.

Σε αυτή τη διάκριση οι περθσσότερες έρευνες ανακατευθύνσεων πάνε στραβά.

Το IPv4 και το IPv6 την παραδίδουν διαφορετικά

Το IPv6 έχει ανάλογο μηχανισμό μέσα στην ανακάλυψη γειτόνων και όχι στο ICMPv4, με διαφορετικές μορφές μηνυμάτων και διαφορετικούς κανόνες επικύρωσης. Οι έννοιες ομοιοκαταληκτούν και τα πακέτα όχι. Ένα φίλτρο καταγραφής γραμμένο για ICMP τύπο 5 δεν θα δείξει τίποτα σε δίκτυο IPv6, κάτι που μερικές φορές διαβάζεται ως απόδειξη ότι δεν συνέβη καμία ανακατεύθυνση.

Οι διακόπτες πολιτικής είναι επίσης ξεχωριστοί, οπότε ένας κεντρικός υπολογιστής μπορεί να δέχεται ανακατευθύνσεις IPv4 και να αγνοεί τις IPv6, ή το ανάποδο.

Ελέγξτε και τις δύο οικογένειες αν η εν λόγω ροή μπορεί να χρησιμοποιήσει οποιαδήποτε από τις δύο.

Η αποδοχή είναι πολιτική του κεντρικού υπολογιστή, όχι γεγονός του δικτύου

Στο Linux η αποδοχή ανακατευθύνσεων ελέγχεται ανά διεπαφή και συνολικά, και οι προεπιλογές διαφέρουν μεταξύ ρόλου κεντρικού υπολογιστή και δρομολογητή. Μια διεπαφή τούνελ που δέχεται ανακατευθύνσεις είναι παράξενη σχεδίαση, αφού μέσα σε τούνελ σημείου-προς-σημείο δεν υπάρχει ουσιαστικό εναλλακτικό επόμενο άλμα στο ίδιο ζεύγος. Αυτό κάνει τη ρύθμιση άξια ανάγνωσης αντί υπόθεσης.

Οι ρυθμίσεις ασφαλούς ανακατεύθυνσης περιορίζουν περαιτέρω ποιες πύλες μπορούν να πιστευτούν.

Αν σκληρύνετε έναν κεντρικό υπολογιστή, αυτοί είναι οι διακόπτες προς έλεγχο, και είναι επίσης ο λόγος που δύο μηχανήματα στο ίδιο δίκτυο μπορούν να συμπεριφέρονται διαφορετικά. Αλλάξτε τους ως πολιτική, όχι ως συντόμευση αποσφαλμάτωσης.

Τι δεν μπορεί να εξηγήσει μια ανακατεύθυνση

Συγκεκριμένες διαδρομές, κανόνες δρομολόγησης πολιτικής και τοπικές διεπαφές εξηγούν τις περισσότερες απρόσμενες διαδρομές χωρίς καμία ανακατεύθυνση. Ένα πιο συγκεκριμένο πρόθεμα, ένας κανόνας που ταιριάζει με τη διεύθυνση προέλευσης, ή ένα δεύτερο προεπιλεγμένο σε άλλον πίνακα καθένα θα υπερισχύσει τη διαδρομή που περιμένατε. Ελέγξτε τα πρώτα, γιατί είναι ντετερμινιστικά και ορατά.

Οι παλιές καταγραφές είναι η άλλη παγίδα, αφού ένας πελάτης που άλλαξε δίκτυο έχει διαφορετική τοπική πύλη.

Μια παλιά ανακατεύθυνση από την προηγούμενη σύνδεση δεν εξηγεί τίποτα για την τρέχουσα διαδρομή, οπότε καταγράψτε ποια διεπαφή δέχεται τώρα την κίνηση ελέγχου.

Ελέγξτε τη διαδρομή πριν κατηγορήσετε το τούνελ

Ρωτήστε τον πυρήνα ποια διαδρομή θα χρησιμοποιούσε για τον προορισμό, και μετά συγκρίνετέ το με τον πίνακα που είχατε κατά νου. Αν η απάντηση ταιριάζει με τον πίνακα, καμία ανακατεύθυνση δεν άλλαξε τίποτα και η έρευνα ανήκει αλλού. Αν δεν ταιριάζει, ψάξτε για αποθηκευμένη ανακατεύθυνση, κανόνα πολιτικής ή δεύτερο πίνακα πριν υποθέσετε ότι φταίει το τούνελ. Η αναζήτηση είναι η βασική αλήθεια, και όλα τα άλλα είναι μια ιστορία για το πώς έφτασε εκεί.

Μια ανακατεύθυνση δεν θα έπρεπε ποτέ να είναι ο λόγος που μια προστατευμένη διαδρομή γίνεται σιωπηλά μη προστατευμένη, και γι' αυτό η πολιτική αποδοχής ανήκει στην ανασκόπηση σχεδίασης. Ο ορισμός στο RFC 792 παραμένει η αναφορά για το τι επιτρέπεται να πει το μήνυμα IPv4.

Γράψτε την αναζήτηση διαδρομής και τη χρονική σήμανση της καταγραφής μαζί, και ο επόμενος θα μπορεί να αναπαραγάγει το συμπέρασμά σας.