Redireccións ICMP fronte ás túas rutas VPN: que cambia de verdade

Un fluxo que debería cruzar o túnel toma un seguinte salto distinto, e alguén atopa unha redirección ICMP nunha captura. Iso é unha hipótese, non un diagnóstico. Unha redirección é unha suxestión do encamiñador sobre un seguinte salto mellor, e se o servidor actúa en consecuencia depende de axustes que varían segundo a plataforma, a interface e a familia de enderezos.

Unha redirección é unha suxestión do encamiñador

As redireccións ICMP de IPv4 teñen o seu propio tipo de mensaxe e un conxunto estreito de condicións: o encamiñador reenvía un paquete pola interface pola que chegou, e coñece un seguinte salto nesa mesma ligazón máis próximo ao destino. Despois dille ao emisor que use ese seguinte salto directamente. A mensaxe nomea a nova pasarela e inclúe parte do paquete orixinal para que o emisor poida emparellalo cun fluxo. É unha mensaxe de cortesía sobre a topoloxía local, e supón que o emisor comparte unha ligazón coa pasarela suxerida.

O emisor é libre de ignoralo. Nada no protocolo obriga a un servidor a cambiar a súa táboa, e unha redirección capturada só demostra que un encamiñador enviou unha.

Ese é o punto onde a maioría das investigacións de redireccións se equivocan.

IPv4 e IPv6 entrégana de xeito distinto

IPv6 ten un mecanismo análogo dentro do descubrimento de veciños no canto de en ICMPv4, con formatos de mensaxe e regras de validación distintos. Os conceptos riman e os paquetes non. Un filtro de captura escrito para ICMP tipo 5 non amosará nada nunha rede IPv6, o que ás veces se le como proba de que non houbo ningunha redirección.

Os axustes de política tamén están separados, así que un servidor pode aceptar redireccións IPv4 e ignorar as de IPv6, ou ao revés.

Comproba ambas as familias se o fluxo en cuestión puidese usar calquera das duas.

A aceptación é unha política do servidor, non un feito da rede

En Linux, a aceptación de redireccións contrólase por interface e de forma global, e os valores por defecto difiren entre os roles de servidor e de encamiñador. Unha interface de túnel que acepta redireccións é un deseño estraño, porque dentro dun túnel punto a punto non hai un seguinte salto alternativo significativo na mesma ligazón. Iso fai que pague a pena ler o axuste en vez de supoñelo.

Os axustes de redirección segura restrinxen aínda máis que pasarelas se poden crer.

Se estás a endurecer un servidor, eses son os axustes que hai que revisar, e tamén son a razón pola que dúas máquinas na mesma rede poden comportarse de forma distinta. Cámbiaos como política, non como atallo de depuración.

Que non pode explicar unha redirección

As rutas específicas, as regras de encamiñamento por política e as interfaces locais explican a maioría das rutas inesperadas sen ningunha redirección. Un prefixo máis específico, unha regra que coincida co enderezo de orixe, ou un segundo valor por defecto noutra táboa cada un superará a ruta que esperabas. Cómprobaos primeiro, porque son deterministas e visibles.

As capturas antigas son a outra trampa, porque un cliente que cambiou de rede ten unha pasarela local distinta.

Unha redirección antiga da conexión anterior non explica nada sobre o camiño actual, así que anota que interface recibe agora o tráfico de control.

Comproba a ruta antes de culpar o túnel

Pregúntalle ao núcleo que ruta usaría para o destino, e despois compárao coa táboa que pretendías. Se a resposta coincide coa táboa, ningunha redirección cambiou nada e a investigación pertence a outro sitio. Se non coincide, busca unha redirección na caché, unha regra de política ou unha segunda táboa antes de supoñer que o túnel ten a culpa. A consulta é a verdade de base, e todo o demais é unha historia sobre como chegou ata alí.

Unha redirección nunca debería ser a razón pola que un camiño protexido se converte en silencio nun non protexido, e por iso a política de aceptación pertence á revisión de deseño. A definición do RFC 792 segue a ser a referencia do que se lle permite dicir á mensaxe IPv4.

Escribe a consulta de ruta e a marca de tempo da captura xuntas, e a seguinte persoa poderá reproducir a túa conclusión.