Linux EHOSTUNREACH OpenVPN-rekin: zein hurrengo jauzi huts egin zuen?

EHOSTUNREACH tokiko erabakia da maiz beste nonbaitetik datorren hutsa bezain. Kernelak paketea baztertu dezake ibilbide batek helmuga iristezina dela dioelako, Etherneteko hurrengo jauziak inoiz erantzun ez zuelako edo bidean urrunago dagoen ICMP host-unreachable txosten bat heldu delako. Iturri bakoitza taula edo cache ezberdinetan bizi da, eta bakoitza leku ezberdinean konpontzen da. Irakurri hautatutako ibilbidea eta hurrengo jauziaren egoera zifrak ukitu edo tunela berriz instalatu aurretik.

Aukeratu bezeroak benetan erabiltzen dituen helbidea eta namespace-a

Hasi errorearen jatorria izan zen helmuga eta sare-namespace-a finkatzen. VPN bezero bat bere namespace-ean exekuta daiteke, eta namespace lehenetsitik egindako bilaketak beste bideratze-taula bat kontsultatzen du, politika-arau ezberdinekin.

Bilaketak huts egin duen aplikazioaren iturri-, marka- eta taula-testuinguru berbera erabili behar du, bestela inork egin ez zuen galdera bati erantzun baitiezaioke. IPv4 pare ilustratibo batentzat, irakurketa-soileko egiaztapenak hauek dira:

ip -4 route get 198.51.100.25
ip -4 neigh show 198.51.100.1
ip -4 route show table all | grep -w unreachable

Shell administratibo bateko emaitzak shell horrek egingo lukeena baino ez du frogatzen. Bezeroak firewall marka bat ezartzen badu edo VRF batera lotzen bada, errepikatu bilaketa dagokion markarekin edo VRF barruan, eta alderatu hautatutako ibilbidea eta hurrengo jauzia. Egiaztatu beharreko lehen helbidea profileko parearen helbidea da, ez erabiltzaileak aipatzen duen klusterra edo zerbitzua.

Iristezin den ibilbide esplizitu batek paketea tokian bertan baztertzen du

unreachable motako ibilbide bat tokiko erantzun nahita egina da. Kernelari paketea baztertu eta EHOSTUNREACH igorleari itzultzeko esaten dio, horregatik errorea berehala agertzen da eta makina uzten duen trafikorik gabe. Norbaitek, edo automatizazio batek, nahita jarri zuen ibilbide hori han.

Ibilbide motak ez dira trukagarriak. Blackhole-k paketea baztertzen du igorleari errorerik eman gabe, prohibit-ek EACCES itzultzen du eta unreachable-k EHOSTUNREACH. Beraz, berriz konektatzean sink ibilbidea instalatzen duen VPN laguntzaile batek host-unreachable errore-piloa sor dezake, tunela altxatzean desagertzen dena, blackhole ibilbide batek isilako denbora-mugak sortuko lituzkeen bitartean.

Bilatu mota taula guztietan urruneko muturra erruduntzat jo aurretik. Taula hautatzen duen arauak barruko ibilbideak adina balio du, eta taula nagusira gehitutako ibilbide batek ez dio lagunduko bere trafikoa beste norabait bidaltzen duen politika-araua duen bezeroari.

Hildako bizilagun batek errore bera sortzen du Etherneten

Hautatutako ibilbideak estekak lotutako atebidea erabiltzen duenean, entregak esteka-geruzako helbide ebatzita behar du. Kernelak ARP edo IPv6 bizilagun-eskaera bat bidaltzen du, eta erantzunik heltzen ez bada paketea ezin da markoztatu. Orduan bidalketak EHOSTUNREACH-rekin huts egiten du, ibilbidea bera baliozkoa den arren.

Bizilagun-taulak etapa izendatzen du. INCOMPLETE-k ebazpena abian dagoela esan nahi du, FAILED-k azken saiakerak erantzunik lortu ez zuela, eta REACHABLE edo STALE-k kernelak helbide erabilgarri bat duela. VPN atebidearen FAILED sarrera tokiko entrega-arazoa da, ez tunelaren urruneko aldearen froga.

Irakurri hurrengo jauzi errealaren sarrera, ez urruneko internet helbidearena. Urruneko helbide batera normalean bideratzaile baten bidez iristen da, beraz ez du bere ARP erregistrorik izango; bat eskatzea kategoria-errore bat da, jendea inoiz egon behar ez zuen sarrera baten bila bidaltzen duena.

Urruneko txostenak eta UDP errore asinkronoak

EHOSTUNREACH kanpotik ere irits daiteke. Paketea birbidali ezin duen bideratzaile batek ICMP host unreachable bidal dezake, eta kernelak txosten hori fluxuaren jabe den socketari pasatzen dio. Kasu horretan ibilbidea eta bizilaguna ondo daude, eta hutsa sare lokalaz haragoko jauzi bati dagokio.

UDP-k egozpena zailtzen du. Geroagoko bidalketa- edo jasotze-dei batek itzulitako errore bat datagrama zaharrago bati erreferentzia egin dakioke, beraz huts egiten duen deiaren helbidea eta ordua ez datoz bat txostena eragin zuen paketearekin. Konektatutako UDP socketak errorea behin jasotzen du, eta konektatu gabeko socketak agian ez du inoiz ikusiko.

Horregatik denbora frogaren parte da. Idatzi errorea noiz agertu zen, socketak zein pare-helbide erabili zuen eta tunela berriki berriz konektatu zen. Ibilbide-aldaketaren ondorengo pila batek taula lokalera seinalatzen du; fluxu egonkorrean minutu batzuen buruko errore bakarti batek bide-txosten batera.

Bereizi geruzak kriptoa aldatu aurretik

Hiru galderak sailkatzen dute errorea. Kernelak helmuga baztertzen duen ibilbide bat aukeratu zuen? Ibilbide baliozkoa aukeratu zuen baina hurrengo jauzia ebazten huts egin zuen? Edo sare lokala baino haratago txosten bat heldu zen? Hirugarren kasuak soilik inplikatu dezake tunelaren urruneko muturra, eta orduan ere ez du zifratzea inplikatzen.

Autentifikazio- eta negoziazio-arazoak beren errore gisa agertzen dira garraioak parea iritsi ondoren. Zifra bat aldatzeak edo bezeroa berriz instalatzeak ezin du unreachable ibilbide lokal bat konpondu, eta benetako kausarako behar zenituzkeen ibilbide- eta bizilagun-frogak suntsitzen ditu.

Erregistratu helmuga, namespace-a, hautatutako taula, hurrengo jauzia, bizilagunaren egoera eta errorearen ordua lehen aldaketaren aurretik. Exekutatu bilaketa bera konponketaren ondoren; orain tunelera seinalatzen duen ibilbide batek eta orain ebazten den bizilagun-sarrera batek froga sendoagoa dira erlaziorik gabeko helbide baterako ping arrakastatsu bat baino.