Me ya sa toshe dukan ICMP ke karya hanyar VPN mai aiki

Ramin da ya wuce tabbaci, ya ɗauki ping sannan ya tsaya a kan babban canjin farko, alama ce ta gargajiya ta saƙon ICMP da ya ɓace ba VPN da ya lalace ba. Mai aikawa ba ya taɓa sanin fakitin ya yi girma, yana maimaita wannan girma, kuma aikace-aikacen yana jira. Gyara wannan shawara ce ta manufofin bangon wuta, ba sake shigar da abokin ciniki ba. Tsari yana da muhimmanci: auna inda iyakar girma take, sannan ka taƙaita ƙa'idar da ta haɗiye rahoton.

Abin da ICMP ke ɗauka a kan wannan hanya

Gano MTU na hanyar IPv4 ya dogara da cewa na'urar tafiyar da hanya ta ba da rahoton cewa fakitin da ke da bit don't-fragment ba a iya tura shi ba. Wannan rahoton saƙon ICMP Fragmentation Needed ne, kuma ba tare da shi mai aikawa ba shi da dalilin rage girman ɓangarensa. IPv6 ya fi tsanani: masu tafiyar da hanya ba sa raba gida a cikin tafiya, don haka saƙon ICMPv6 Packet Too Big shi ne kawai alamar da ke sa mai aikawa ya ragu.

Duk saƙonnin biyu martani ne na matakin sarrafawa, kuma babu ɗayansu da ya zama amsar bincike. Manufar da ke toshe ping da manufar da ke toshe dukan ICMP suna kama da juna a cikin jerin ƙa'idoji amma suna yin daban sosai a kan hanyar sadarwa. Na biyu na iya mai da ramin da aka auna daidai zuwa hanyar gefe ɗaya ga duk abin da ya fi ƙaramin haɗin sarkar girma.

Wasu hanyoyin jigilar kaya suna aiwatar da nasu ganowa da fakiti na bincike, kamar yadda RFC 4821 ya bayyana, kuma sun dogara kaɗan da wannan martani. Wannan hujja ce ta duba wace hanyar jigilar kaya kuke amfani da ita, ba don ɗauka kowane rami ba shi da lafiya.

Rashin nasarar ya dogara da girma

Tambaya ko rashin nasarar yana da alaƙa da girman fakiti. Shafin shiga, tambayar DNS da gajeren kiran API suna yin nasara, yayin da loda fayil, babban amsa ko sauke hoto ke tsayawa. Wannan tsarin yana nuni ga iyakar girma a wani wuri tsakanin ƙarshen biyu, ba tabbaci ko tafiyar da hanya ba. Ping ƙarami mai nasara kusan ba ya faɗin komai game da inda wannan iyaka take.

A cikin rami akwai yadudduka biyu da za a yi la'akari: fakitin kaya da fakitin waje da aka lulluɓe. Mai aikawa na ciki na iya yin daidai yayin da hanyar waje ta fi ƙanƙanta fiye da yadda ramin yake tsammani, shi ya sa duka saitin MTU na ramin da haɗin jiki da ke ƙasa da shi ke da muhimmanci.

Auna kafin gyara ƙa'idoji

Yi bincike da bit don't-fragment da girman kaya da kanku kuka zaɓa, daga abokin ciniki da ya kasa zuwa wani adireshi mai kariya:

ping -M do -s 1472 10.20.5.7
ping -M do -s 1300 10.20.5.7

Kayan 1472 byte da ƙarin 28 byte na kawuna suna yin fakitin 1500 byte. Idan babban binciken ya kasa da kuskuren rabuwa kuma ƙaramin ya wuce, kun sami iyakar; daidaita don ƙarin nauyin ramin kuma maimaita har girman aiki ya tsaye.

Sannan tabbatar cewa ratar ita ce rahoton kansa. Idan binciken ya kasa shiru, ba tare da kuskure ko amsa ba, ana yiwuwa a zubar da saƙon maimakon isar da shi, kuma ƙa'idar ita ce wanda ake zargi.

Taƙaita ƙa'idar, sannan sake gwada aikin

Gyaran ya kamata ya ba da izini ga takamaiman saƙonnin sarrafawa, ba dukan ka'idar ba. A kan na'urar iptables siffar ita ce karɓa ta takamaiman nau'i; daidaita rubutun zuwa abin da ke sarrafa bangon wuta a dandalin ku:

iptables -I INPUT -p icmp --icmp-type fragmentation-needed -j ACCEPT
ip6tables -I INPUT -p icmpv6 --icmpv6-type packet-too-big -j ACCEPT

Ka bar amsoshin amsa suna toshe idan wannan ita ce manufar gida, tunda hanyar ba ta buƙatar su. Sannan sake gwada canjin da ya kasa da farko, daga sabuwar hanyar sadarwa, kuma tabbatar cewa masu ƙididdiga na ƙa'idar suna nuna saƙonnin suna zuwa.

Idan babban canjin har yanzu yana tsayawa bayan an ba da izinin saƙonnin, sauran iyakar tana wani wuri: MTU na rami da aka saita da yawa, proxy da ke sake rubuta fakiti, ko akwatin tsakiya da ke zubarwa maimakon bayar da rahoto. Ƙa'idar ICMP ta kasance dole, ba isasshiya ba.