Ping VPN baten bidez: zergatik galtzen duten oihartzun-erantzunaren arauek itzulera-bidea

Bidali ping bat VPN baten bidez eta eskaera ICMP mota batekin irteten da eta beste batekin itzultzen da, eta hori nahikoa da portuen terminoetan idatzitako edozein arau nahasteko. Oihartzun-trukean ez dago helmugako zerbitzu-porturik itzulera-arauean kopiatzeko, eta simetria espero duen iragazki batek erantzuna baztertuko du eskaera oztoporik gabe igarotzen den bitartean. Konponketa paketea den bezala irakurtzen hasten da, eta gero bidean zein muga ari den erabakia hartzen zehazten. Normalean bi geruza ari dira lanean, eta hirugarrenak isilpean baztertzen du erantzuna. Hurrengo atalek pakete batek haiek aurkitzen dituen ordenan bereizten dituzte.

Paketeak mota aldatzen du, ez portua

Oihartzun-eskaera ICMP 8 mota eta 0 kodea da, eta identifikatzaile bat eta sekuentzia-zenbaki bat daramatza. Erantzuna 0 mota eta 0 kodea da, identifikatzaile eta sekuentzia berarekin, eta IP muturrak trukatuta. RFC 792k definitzen ditu eremu horiek, eta identifikatzailea da igorleari erantzunak bere eskariokin parekatzeko aukera ematen diona.

Falta dena bezain garrantzitsua da: ez dago TCP edo UDP goibururik, beraz ez dago baimentzeko porturik. Oihartzun-erantzun baterako portu bat izendatzen duen arauak inoiz existituko ez den pakete bat deskribatzen du. Hau da VPN ping txartelean ohikoena den akatsa. Arauak zehatza dirudi, ez zaio ezeri aplikatzen, eta hutsa zegoen lekuan bertan uzten du.

Hiru testuinguruk erabakitzen dute paketea

Ping-a urrutiko LANeko ostalari batera zuzentzen bada, atebideak eskaera birbidali behar du. Atebideari berari dagokion helbide batera zuzentzen bada, tokiko sarrera-bidean amaitzen da. Atebideak berak ping-a hasten badu, paketea bere irteera-bidean hasten da eta ez du birbidaltze-erabakia batere zeharkatzen.

Hiru testuinguru horiek arau-kate eta kontagailu desberdinak dituzte, eta bat bakartzat hartzea da «suhesiak ICMP onartzen du» esateak oraindik ping hutsa eman dezakeen arrazoia. Kanpoko tunela laugarren testuingurua da: VPN entzulea baimentzeak ez du automatikoki baimetzen deskapsulatutako barne-eskaera, eta barne-baimenak ez du ezer esaten kanpoko tunela martxan dagoen ala ez.

Egoera duten eta ez duten iragazkiek desberdin tratatzen dute erantzuna

Eskaera irteten ikusi duen egoera duen suhesi batek erantzuna fluxu horri lotu eta bigarren araurik gabe onar dezake. Egoerarik gabeko iragazkiak ez du halako memoriarik, beraz itzulera-norabideak bere berariazko baimena behar du, iturria eta helmuga alderantzikatuta.

Egiaztatu produktuak benetan zein eredu ezartzen duen ezer idatzi aurretik. Oihartzun-eskaerarako arau batek ez du nahitaez oihartzun-erantzuna estaltzen, eta ICMP kontsultak jarraitzen dituen produktu batek beste interfaze batera iristen diren erantzunei beste politika bat aplika diezaieke.

Mugatu baimentzen duzuna. Edozein lekutatik datorren oihartzun-erantzun guztiak baimentzea ez da egoera-lotura bat osatzearen berbera, eta mota-zenbaki batek ez du igorlea autentifikatzen.

Itzulpenak identifikatzailea ere aldatzen du

Iturburuaren itzulpena nahita egiten bada, urrutiko muturreko tuplea ez dator bat bezeroak bidalitakoarekin. NAT batek ICMP kontsultaren identifikatzailea helbideekin batera itzul dezake, beraz zenbaki bera bi aldeetan agertu behar delakoan aritzeak bat ez etortze faltsua sortzen du.

Aitzitik, lotu itzultzaileak ematen duen mapaketari. Identifikatzailea berridazten duen itzultzaile batek ez du zure bezeroak erregistratutako zenbakia mantenduko, beraz hartu mapaketa identitate gisa, eta ez zenbakia. Ondoren jarraitu identifika daitekeen eskaera bat bidean zehar: egiaztatu espero den iturriarekin iristen dela helmugara, egiaztatu helmugak erantzun bat igorri duela, jarraitu erantzun horren ibilbidea atzera, eta egiaztatu bezeroak jaso duela, atebidearen kontagailua igotzen ari dela soilik begiratu beharrean.

Ez nahastu ICMP erroreak oihartzun-politikan

Bideko MTU aurkikuntzak erabiltzen duen «zatiketa behar da» mezua ez da oihartzun-erantzuna, eta haren karga erabilgarriak eragin zuen paketea aipatzen du. Oihartzunerako soilik den baimen batek errore horiek isilpean baztertzeak tamaina-arazo bat zintzilik dagoen konexio bihurtzen du, eta hori lagungarriaren kontrakoa da.

Kontu bera balio du helbide-familientzat. ICMPv6k mezu-mota desberdinak erabiltzen ditu eta IPv4k ez dituen funtsezko funtzioak daramatza, beraz zenbaki hauek IPv6 arau batean kopiatzea besterik gabe okerra da.

Oihartzun-trukea funtzionatzen duenean, probatu aplikazio erreala bereizita. Ping arrakastatsuak protokolo bakarreko joan-etorria frogatzen du tamaina batean helmuga batera, eta ez da HTTPS, SMB edo beste edozein fluxu baimenduta dagoela suposatzeko lizentzia.