Zergatik hiltzen den traceroute norabide bakarrean VPN tunel batean

Norabide batean osatzen den eta bestean izar ilarak inprimatzen dituen traceroute irteerak birbidaltze asimetrikoaren itxura du, eta normalean ez da hala. Erakutsitako hop bakoitzak zunda iristea, router batek erantzutea erabakitzea eta erantzuna itzuli eta zundarekin parekatzea behar du. Apurtu esteka horietako edozein eta ilara izar bihurtzen da, tuneleak datuak eramaten jarraitzen duen bitartean.

Trazak diagnostikoari buruzko froga da, garraioari buruzko froga izan aurretik. Galdetzea merezi duen galdera hiru esteketatik zein huts egin zuen da, eta erantzuna paketeetatik dator, ez irteeraren formatik.

Izar bat falta den erantzuna da, ez falta den hop bat

Traceroute kanporantz doa TTL-a txanda bakoitzean router bat harago iraungitzen duten zundak bidaliz. Iraungitako zunda baztertzen duen router batek bere burua izendatzen duen ICMP Time Exceeded mezua itzuli beharko luke, eta tresnak izen hori inprimatzen du. Tresnak benetan itxaroten duena mezu hori denbora-muga baten barruan iristea da. Routerrak beste iturburu-helbide batetik erantzuten badu, erroreak sortzeko maiztasuna mugatzen badu edo zunda hitzik esan gabe botatzen badu, txandak ez du inprimatzeko ezer ematen.

Emaitza horietako batek ere ez du esaten aurrerako bidea apurtuta dagoenik. Izar bat erantzunik gabeko postalari buruzko txostena da, ez bide hutsari buruzkoa.

Zunda metodoak zehazten du zein iragazki aurkituko duzun

Linux-en metodo lehenetsia normalean zenbaki altuko UDP helburu-portua da, Windows tracert-ek ICMP oihartzunak bidaltzen ditu, eta Linux-i ICMP edo TCP erabiltzeko agindu dakioke horren ordez. Horietako bakoitzak trafiko mota desberdin baten itxura du egoera duen suebaki edo hodeiko segurtasun-talde batentzat. Alde bateko UDP traza beste aldeko ICMP trazarekin alderatzeak bi esperimentu desberdin alderatzen ditu. Finkatu metodoa, helbide-familia, iturburu-helbidea eta denbora-muga emaitzak desberdintasun deitu aurretik.

Konparaketa bidezkoa izateko, exekutatu traza benetan trafikoa daraman ostalarietatik eta ez haien izenean birbidaltzen duen atebide batetik. Routerrak sortutako trazak routerraren beraren iturburu-helbidea eta irteera-politika erabiltzen ditu, bezeroak ikusten duen edozer baino zorrotzagoak izan daitezkeenak. Idatzi komando zehatza, hurrengo pertsonak errepikatu ahal izan dezan.

Denbora-mugaren balioa esperimentuaren beste erdia da, eta erraza da oharretan ahaztea. Bide saturatu batean bi segundoko itxaronaldiak izarrak ematen ditu, bost segundoko itxaronaldiak hopak ematen dituen lekuan. Mantendu balioa berbera exekuzio guztietan, konparaketa sareari buruzkoa izan dadin.

Itzulera bidea berezko ibilbidea da

ICMP errorea pakete arrunta da, bere iturburu eta helmuga dituena, eta trazatzailera itzultzeko ibilbidea behar du. Tunelearen politikak LAN aurrizkiak eramaten baditu baina errorea sortu zuen routerraren helbidea eramaten ez badu, mezua zuengana iritsi ezin den bide batetik irteten da. Erantzunen iragazketak bota dezake ibilbidea existitzen denean ere, paketea ustekabeko helbide batetik iristen baita ustekabeko interfaze batean. Hori diagnostiko planoan dagoen desdoitze bat da, ez aplikazioaren hutsa.

Hautatzaile bakoitza traza osatu arte zabaltzeak irudia ederragoa eta politika okerragoa egiten ditu. Konpondu diagnostiko-helbide zehatza, edo onartu izarra eta probatu aplikazioa beste modu batean.

Egiaztatu tunela benetako eskaera batekin

Zerbitzuaren portu propioan egindako TCP handshake batek birbidaltzea, itzulera-bideratzea eta iragazketa probatzen ditu garrantzia duen norabidean. Beheko komandoak bi muturretan exekutatzen dira eta alde bakoitzak zer ireki dezakeen alderatzen dute. Ordeztu zerbitzuaren portua eta tunelearen interfazearen izena zure konfigurazioarekin.

traceroute -I -n -w 2 203.0.113.40
traceroute -T -p 443 -n -w 2 203.0.113.40
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' --max-time 5 http://203.0.113.40:8080/health
ss -tan state established

Irakurri lehenengo bi traceroute exekuzioak: ICMP exekuzioak hopak erakusten baditu eta TCP exekuzioak ez, desberdintasuna metodoa da, ez bidea. Ondoren hartu curl emaitza aplikazio-mailako erantzun gisa, estatus-kode zentzuzko truke batek aurrera eta itzulera bideek benetako trafikoarentzat funtzionatzen dutela esan nahi baitu. Socket zerrendak konexioa ezarrita dagoen ala ez erakusten du, eta hori ez dizu inongo trazak esango.

Bi norabideetan saio interaktiboa eramaten duen tunel bat, traceroute batek izarrak inprimatzen dituen bitartean, osasuntsua da eta soilik argazkirako ez dena. Gorde alde bakoitzeko komandoen irteera erregistro gisa, eta tratatu falta diren hopak diagnostikoari buruzko galdera ireki gisa, ez VPNari buruzko epai gisa.