Zergatik ICMP osoa blokeatzeak funtzionatzen duen VPN bide bat hausten duen
Tamainari buruzko feedback mezuak ez dira ping erantzunak. Inoiz iristen ez direnean, pakete txikiek lortzen dute, handiek desagertu egiten dute, eta tunela dardarka ari dela dirudi.
Autentifikatzen den, ping bat eramaten duen eta gero lehen transferentzia handian trabatzen den tunel bat falta den ICMP mezu baten seinale klasikoa da, ez VPN hautsi batena. Igorleak ez du inoiz jakiten pakete bat handiegia zenik, tamaina berarekin errepikatzen du, eta aplikazioa itxaroten geratzen da. Hau konpontzea suebakiaren politikaren erabakia da, ez bezeroa berriro instalatzea. Hurrengoak garrantzia du: neurtu tamainaren muga non dagoen, eta gero estutu txostena irentsi zuen araua.
Zer darama ICMPk benetan bide honetan
IPv4 bidearen MTU aurkikuntza don't-fragment bita ezarrita zuen pakete bat ezin izan zela aurrera eraman bideratzaile batek jakinaraztean oinarritzen da. Jakinarazpen hori ICMP Fragmentation Needed mezua da, eta hura gabe igorleak ez du arrazoirik bere segmentuaren tamaina txikitzeko. IPv6 zorrotzagoa da: bideratzaileek ez dute trantsitutik zatikatzen, beraz ICMPv6 Packet Too Big mezua da igorlea uzkurtzera behartzen duen seinale bakarra.
Bi mezuak kontrol-planoaren feedbacka dira, eta bat ere ez da diagnostiko-ohartzuna. Ping blokeatzen duen politika bat eta ICMP osoa blokeatzen duena antzekoak dira arauen zerrendan, baina oso desberdin jokatzen dute sarean. Bigarrenak ondo dimentsionatutako tunel bat norabide bakarreko bide bihur dezake kateko estekarik txikiena baino handiagoa den edozertarako.
Zenbait garraiolarik beren aurkikuntza propioa egiten dute zunda-paketekin, RFC 4821ek deskribatzen duen moduan, eta gutxiago dependatzen dute feedback honetatik. Hori zein garraiolari exekutatzen duzun egiaztatzeko argudioa da, tunel guztiak immuneak direla suposatzeko arrazoia ez.
| Mezua | Bideko helburua | Blokeatuta badago |
|---|---|---|
| ICMPv4 3. mota 4. kodea | Paketea handiegia zen hurrengo estekarako | Igorleak errepikatzen du eta trabatzen da |
| ICMPv6 2. mota | Packet Too Big, IPv6ren baliokidea | Trabadura bera, zatiketarako ordezko aukerarik gabe |
| ICMP 11. mota | Denbora gainditua, traceroutek erabiltzen du | Diagnostikoak jauziak galtzen ditu, trafikoak aurrera jarraitzen du |
| ICMP oihartzun eskaera eta erantzuna | Irisgarritasun proba | Pingek huts egiten du, bidea ondo egon daiteke |
Hutsegitea tamainaren araberakoa da
Galdetu hutsegitea paketearen tamainarekin korrelazionatzen den. Saio-hasierako orrialde batek, DNS kontsulta batek eta API dei labur batek lortzen dute, fitxategi igoera batek, erantzun handi batek edo irudi deskarga batek trabatzen diren bitartean. Eredu horrek bi muturren arteko tamaina-muga bat seinalatzen du, ez autentifikazioa edo bideratzea. Ping txiki arrakastatsu batek ia ezer ez du esaten muga hori non dagoen.
Tunel baten barruan bi geruza hartu behar dira kontuan: karga-paketea eta kanpoko pakete kapsulatua. Barneko igorleak behar bezala jokatu dezake kanpoko bidea tunelak suposatzen duena baino txikiagoa den bitartean, eta horregatik dira garrantzitsuak tunelaren beraren MTU ezarpena eta haren azpiko esteka fisikoa.
Neurtu arauak editatu aurretik
Egin zunda don't-fragment bitarekin eta zuk aukeratutako karga-tamainarekin, huts egiten duen bezerotik helbide babestu baterantz:
ping -M do -s 1472 10.20.5.7
ping -M do -s 1300 10.20.5.71472 byteko kargak gehi 28 byteko goiburuek 1500 byteko paketea osatzen dute. Zunda handiak zatiketa-errore batekin huts egiten badu eta txikiak pasatzen badu, muga aurkitu duzu; doitu tunelaren gainkosturako eta errepikatu tamaina funtzionala egonkor egon arte.
Gero egiaztatu hutsunea txostena bera dela. Zundak isilki huts egiten badu, errorerik eta erantzunik gabe, mezua seguruenik botatzen ari da, ez entregatzen, eta susmagarria araua da.
Estutu araua, eta gero probatu berriro zeregina
Zuzenketak kontrol-mezu zehatzak onartu behar ditu, ez protokolo osoa. iptables ostalari batean forma mota zehatzeko baimena da; egokitu sintaxia zure plataforman suebakia kudeatzen duenari:
iptables -I INPUT -p icmp --icmp-type fragmentation-needed -j ACCEPT
ip6tables -I INPUT -p icmpv6 --icmpv6-type packet-too-big -j ACCEPTUtzi oihartzun erantzunak blokeatuta tokiko politika bada, bideak ez baititu behar. Gero probatu berriro jatorriz huts egin zuen transferentzia, konexio berri batetik, eta egiaztatu arauaren kontagailuek mezuak iristen ari direla erakusten dutela.
Mezuak onartu ondoren transferentzia handiak trabatzen jarraitzen badu, gainerako muga beste leku batean dago: oso altu ezarritako tunel MTU bat, paketeak berridazten dituen proxy bat edo jakinarazi beharrean botatzen duen bitarteko kaxa bat. ICMP araua beharrezkoa zen, baina ez nahikoa.