Ping troch in VPN: wêrom’t regels foar echo-antwurd it werompaad misse

Pingje in host troch in VPN en it fersyk giet fuort as ien ICMP-type en komt werom as in oar, wat genôch is om elke regel dy’t yn termen fan poarten skreaun is te betiizjen. Yn in echowiksel is der gjin bestimmings-tsjinstpoarte om yn ’e weromregel te kopiearjen, en in filter dat symmetry ferwachtet sil it antwurd bordele wylst it fersyk der glêd trochhinne giet. De reparaasje begjint mei it pakket te lêzen sa’t it echt is, en dan te besluten hokker grins op ’e wei de beslissing nimt. Meastentiids wurkje twa lagen wylst de tredde it antwurd stil bordele. De seksjes hjirûnder skiede se yn ’e folchoarder wêryn’t in pakket se tsjinkomt.

It pakket feroaret type, net poarte

In echofersyk is ICMP-type 8, koade 0, en draacht in identifikaasje en in folchnûmer. It antwurd is type 0, koade 0, mei deselde identifikaasje en folchoarder, en de IP-einpunten omkeard. RFC 792 definiearret dy fjilden, en it is de identifikaasje dy’t in stjoerder antwurden by syn eigen fersiken pasje lit.

Wat ûntbrekt is like wichtich: der is gjin TCP- of UDP-kop, dus is der gjin poarte om ta te stean. In regel dy’t in poarte foar in echo-antwurd neamt, beskriuwt in pakket dat nea bestean sil. Dit is de meast foarkommende flater yn VPN-ping-tickets. De regel liket spesifyk, jildt foar neat, en lit de flater krekt dêr wêr’t er wie.

Trije konteksten beslisse oer it pakket

As de ping in host op ’e fiere LAN rjochtet, moat it fersyk troch de gateway trochstjoerd wurde. As er in adres rjochtet dat by de gateway sels heart, einiget er yn it lokale ynfierpaad. As de gateway de ping sels begjint, begjint it pakket yn syn eigen útfierpaad en giet it hielendal net oer de trochstjoerbeslissing.

Dy trije konteksten hawwe ferskillende regelkeatlingen en ferskillende tellers, en se as ien behannelje is de reden dat „de firewall lit ICMP ta“ noch altyd in mislearre ping jaan kin. De bûtenste tunnel is in fjirde kontekst: it tastean fan de VPN-ynstap lit it ûntkapsle wurden binnenfersyk net automatysk ta, en in binnen tastean seit neat oer of de bûtenste tunnel oan is.

Filters mei en sûnder tastân behannelje it antwurd oars

In firewall mei tastân dy’t it fersyk fuortgean seach, kin it antwurd oan dy stream keppelje en it sûnder twadde regel talitte. In filter sûnder tastân hat sa’n ûnthâld net, dus de weromrjochting hat syn eigen útdruklike tastean nedich, mei de boarne en bestimmingsplak omkeard.

Kontrolearje hokker model it produkt echt ymplemintearret foardat jo wat skriuwe. In regel foar echofersyk dekt net needsaaklikerwize echo-antwurd, en in produkt dat ICMP-fragen folget kin noch altyd in oar belied tapasse op antwurden dy’t op in oare interface oankomme.

Behein wat jo tastean. It tastean fan elk echo-antwurd fan oeral is net itselde as it foltôgjen fan in keppeling mei tastân, en in typenûmer autentisearret de stjoerder net.

Oersetting feroaret ek de identifikaasje

As boarne-oersetting bewust is, past de tuple oan ’e fiere ein net by dy’t de klant stjoerd hat. In NAT kin de ICMP-fraach-identifikaasje tegearre mei de adressen oersette, dus it oanstien op itselde nûmer oan beide kanten liedt ta in falske ôfwiking.

Korrelearje ynstee de mapping dy’t de oersetter rapportearret. In oersetter dy’t de identifikaasje oerskriuwt, sil it nûmer dat jo klant logde net behâlde, dus behannelje de mapping as de identiteit en net it nûmer. Folgje dan ien werkenber fersyk troch it paad: befêstigje dat it it bestimmingsplak mei de ferwachte boarne berikt, befêstigje dat it bestimmingsplak in antwurd stjoerd hat, folgje de rûte fan dat antwurd werom, en befêstigje dat de klant it ûntfongen hat ynstee fan allinne te sjen hoe’t in gateway-teller omheech giet.

Foj ICMP-flaters net yn it echobelied

It berjocht „fragmintaasje nedich“ dat paad-MTU-ûntdekking brûkt is gjin echo-antwurd, en syn lading sitearret it pakket dat it feroarsake. In tastean allinne foar echo dat dy flaters stil fuortsmyt, feroaret in grutteprobleem yn in hingjende ferbining, wat it tsjinstelde fan helpe is.

Deselde soarch jildt foar adresfamyljes. ICMPv6 brûkt oare berjochten en draacht essinsjele funksjes dy’t IPv4 net hat, dus dizze nûmers yn in IPv6-regel kopiearje is gewoan ferkeard.

As it echowiksel wurket, test dan de echte applikaasje apart. In slagge ping bewiist de hin-en-wer fan ien protokol, by ien grutte, nei ien bestimmingsplak, en it is gjin lisinsje om oan te nimmen dat HTTPS, SMB of hokker oare stream dan ek tastien is.