Ping μέσω VPN: γιατί οι κανόνες απόκρισης ηχούς χάνουν την επιστροφή

Στείλτε ping σε έναν κεντρικό υπολογιστή μέσω VPN και το αίτημα φεύγει με έναν τύπο ICMP και επιστρέφει με άλλον, κάτι που αρκεί για να μπερδέψει κάθε κανόνα γραμμένο με όρους θυρών. Δεν υπάρχει θύρα υπηρεσίας προορισμού σε μια ανταλλαγή ηχούς για να αντιγραφεί στον κανόνα επιστροφής, και ένα φίλτρο που περιμένει συμμετρία θα απορρίψει την απόκριση ενώ το αίτημα περνά ανεμπόδιστα. Η διόρθωση ξεκινά με την ανάγνωση του πακέτου όπως πραγματικά είναι και στη συνέχεια με την απόφαση ποιο όριο στη διαδρομή παίρνει την απόφαση. Συνήθως δύο επίπεδα δουλεύουν ενώ το τρίτο απορρίπτει σιωπηλά την απόκριση. Οι παρακάτω ενότητες τα χωρίζουν με τη σειρά που ένα πακέτο τα συναντά.

Το πακέτο αλλάζει τύπο, όχι θύρα

Ένα αίτημα ηχούς είναι ICMP τύπου 8, κώδικα 0, και μεταφέρει αναγνωριστικό και αύξοντα αριθμό. Η απόκριση είναι τύπου 0, κώδικα 0, με το ίδιο αναγνωριστικό και την ίδια ακολουθία, και τα άκρα IP αντεστραμμένα. Το RFC 792 ορίζει αυτά τα πεδία, και το αναγνωριστικό είναι αυτό που επιτρέπει σε έναν αποστολέα να ταιριάζει τις αποκρίσεις με τα δικά του αιτήματα.

Αυτό που λείπει είναι εξίσου σημαντικό: δεν υπάρχει κεφαλίδα TCP ή UDP, άρα δεν υπάρχει θύρα για να επιτραπεί. Ένας κανόνας που ονομάζει θύρα για απόκριση ηχούς περιγράφει ένα πακέτο που δεν θα υπάρξει ποτέ. Αυτό είναι το πιο συχνό λάθος στα δελτία ping μέσω VPN. Ο κανόνας φαίνεται συγκεκριμένος, δεν εφαρμόζεται σε τίποτα και αφήνει την αστοχία ακριβώς εκεί που ήταν.

Τρία πλαίσια αποφασίζουν για το πακέτο

Αν το ping στοχεύει κεντρικό υπολογιστή στο απομακρυσμένο LAN, το αίτημα πρέπει να προωθηθεί από την πύλη. Αν στοχεύει διεύθυνση που ανήκει στην ίδια την πύλη, τερματίζεται στην τοπική διαδρομή εισόδου. Αν η πύλη ξεκινά η ίδια το ping, το πακέτο αρχίζει στη δική της διαδρομή εξόδου και δεν διασχίζει ποτέ την απόφαση προώθησης.

Αυτά τα τρία πλαίσια έχουν διαφορετικές αλυσίδες κανόνων και διαφορετικούς μετρητές, και η αντιμετώπισή τους ως ενός είναι ο λόγος που το «το τείχος προστασίας επιτρέπει ICMP» μπορεί ακόμα να δώσει αποτυχημένο ping. Η εξωτερική σήραγγα είναι τέταρτο πλαίσιο: η άδεια στον ακροατή VPN δεν επιτρέπει αυτόματα το αποκωδικοποιημένο εσωτερικό αίτημα, και μια εσωτερική άδεια δεν λέει τίποτα για το αν η εξωτερική σήραγγα είναι ενεργή.

Τα φίλτρα με και χωρίς κατάσταση χειρίζονται την απόκριση διαφορετικά

Ένα τείχος προστασίας με κατάσταση που είδε το αίτημα να φεύγει μπορεί να συσχετίσει την απόκριση με αυτή τη ροή και να τη δεχτεί χωρίς δεύτερο κανόνα. Ένα φίλτρο χωρίς κατάσταση δεν έχει τέτοια μνήμη, οπότε η κατεύθυνση επιστροφής χρειάζεται τη δική της ρητή άδεια, με την πηγή και τον προορισμό αντεστραμμένα.

Ελέγξτε ποιο μοντέλο εφαρμόζει πραγματικά το προϊόν πριν γράψετε οτιδήποτε. Ένας κανόνας για αίτημα ηχούς δεν καλύπτει απαραίτητα την απόκριση ηχούς, και ένα προϊόν που παρακολουθεί ερωτήματα ICMP μπορεί να εφαρμόζει διαφορετική πολιτική σε αποκρίσεις που φτάνουν σε άλλη διεπαφή.

Περιορίστε ό,τι επιτρέπετε. Το να επιτρέπετε κάθε απόκριση ηχούς από οπουδήποτε δεν είναι το ίδιο με το να ολοκληρώσετε μια συσχέτιση με κατάσταση, και ένας αριθμός τύπου δεν πιστοποιεί τον αποστολέα.

Η μετάφραση αλλάζει και το αναγνωριστικό

Αν η μετάφραση πηγής είναι σκόπιμη, η πλειάδα στο απομακρυσμένο άκρο δεν ταιριάζει με αυτή που έστειλε ο πελάτης. Ένα NAT μπορεί να μεταφράσει το αναγνωριστικό του ερωτήματος ICMP μαζί με τις διευθύνσεις, οπότε η επιμονή να εμφανίζεται ο ίδιος αριθμός και στις δύο πλευρές παράγει ψευδή αναντιστοιχία.

Συσχετίστε αντίθετα την αντιστοίχιση που αναφέρει ο μεταφραστής. Ένας μεταφραστής που ξαναγράφει το αναγνωριστικό δεν θα διατηρήσει τον αριθμό που κατέγραψε ο πελάτης σας, οπότε θεωρήστε την αντιστοίχιση ως ταυτότητα και όχι τον αριθμό. Στη συνέχεια ακολουθήστε ένα αναγνωρίσιμο αίτημα στη διαδρομή: επιβεβαιώστε ότι φτάνει στον προορισμό με την αναμενόμενη πηγή, επιβεβαιώστε ότι ο προορισμός εξέπεμψε απόκριση, ακολουθήστε τη διαδρομή αυτής της απόκρισης προς τα πίσω, και επιβεβαιώστε ότι ο πελάτης την έλαβε αντί να βλέπετε απλώς έναν μετρητή της πύλης να ανεβαίνει.

Μην ενσωματώνετε τα σφάλματα ICMP στην πολιτική ηχούς

Το μήνυμα «απαιτείται κατακερματισμός» που χρησιμοποιεί η ανακάλυψη MTU διαδρομής δεν είναι απόκριση ηχούς, και το ωφέλιμο φορτίο του παραθέτει το πακέτο που το προκάλεσε. Μια άδεια μόνο για ηχώ που απορρίπτει σιωπηλά αυτά τα σφάλματα μετατρέπει ένα πρόβλημα μεγέθους σε σύνδεση που κρεμάει, που είναι το αντίθετο του χρήσιμου.

Η ίδια προσοχή ισχύει για τις οικογένειες διευθύνσεων. Το ICMPv6 χρησιμοποιεί διαφορετικούς τύπους μηνυμάτων και μεταφέρει ουσιώδεις λειτουργίες που δεν έχει το IPv4, οπότε η αντιγραφή αυτών των αριθμών σε κανόνα IPv6 είναι απλώς λάθος.

Όταν η ανταλλαγή ηχούς λειτουργεί, δοκιμάστε την πραγματική εφαρμογή ξεχωριστά. Ένα επιτυχημένο ping αποδεικνύει την κυκλική διαδρομή ενός πρωτοκόλλου σε ένα μέγεθος προς έναν προορισμό, και δεν είναι άδεια να υποθέσετε ότι επιτρέπονται το HTTPS, το SMB ή οποιαδήποτε άλλη ροή.