Zašto traceroute umire u jednom smjeru kroz VPN tunel

Izlaz traceroutea koji se dovrši u jednom smjeru, a u drugom ispiše redove zvjezdica, izgleda kao asimetrično prosljeđivanje, a obično nije. Svaki prikazani skok zahtijeva da sonda stigne, da usmjerivač odluči odgovoriti i da se odgovor vrati i upari sa sondom. Prekinite bilo koju od tih veza i red postaje zvjezdica, dok tunel nastavlja prenositi podatke.

Trag je dokaz o dijagnostici prije nego dokaz o prijenosu. Pitanje koje vrijedi postaviti jest koja od tri veze nije uspjela, a odgovor dolazi iz paketa, a ne iz oblika izlaza.

Zvjezdica je odgovor koji nedostaje, a ne skok koji nedostaje

Traceroute ide prema van šaljući sonde čiji TTL istječe jedan usmjerivač dalje u svakom krugu. Usmjerivač koji odbaci isteklu sondu trebao bi vratiti poruku ICMP Time Exceeded s vlastitim imenom, a alat ispisuje to ime. Alat zapravo čeka da ta poruka stigne unutar vremenskog ograničenja. Ako usmjerivač odgovori s druge izvorne adrese, ograniči koliko često stvara pogreške ili odbaci sondu bez riječi, krug ne daje ništa za ispis.

Nijedan od tih ishoda ne kaže da je prednja putanja pokvarena. Zvjezdica je izvještaj o neodgovorenoj pošti, a ne o praznom putu.

Metoda sonde odlučuje na koji filtar nailazite

Zadana metoda na Linuxu obično je UDP odredišni port s visokim brojem, Windows tracert šalje ICMP odjeke, a Linuxu se može reći da umjesto toga koristi ICMP ili TCP. Svaki od njih izgleda kao druga vrsta prometa za stateful firewall ili sigurnosnu grupu u oblaku. Uspoređivanje UDP traga s jedne strane s ICMP tragom s druge strane uspoređuje dva različita eksperimenta. Fiksirajte metodu, obitelj adresa, izvornu adresu i vremensko ograničenje prije nego rezultate nazovete razlikom.

Za poštenu usporedbu pokrenite trag s hostova koji stvarno nose promet, a ne s pristupnika koji prosljeđuje u njihovo ime. Trag koji generira usmjerivač koristi vlastitu izvornu adresu i izlaznu politiku, koje mogu biti strože od svega što klijent vidi. Zapišite točan nalog da ga sljedeća osoba može ponoviti.

Vrijednost vremenskog ograničenja je druga polovica eksperimenta i lako ispadne iz bilješki. Čekanje od dvije sekunde na zagušenoj putanji prijavljuje zvjezdice tamo gdje čekanje od pet sekundi prijavljuje skokove. Držite vrijednost istom u svim pokretanjima da usporedba ostane o mreži.

Povratna putanja je vlastita ruta

ICMP pogreška običan je paket s vlastitim izvorom i odredištem i treba joj ruta natrag do tragača. Ako politika tunela nosi LAN prefikse ali ne adresu usmjerivača koji je generirao pogrešku, poruka izlazi putanjom koja vas ne može dosegnuti. Filtriranje odgovora može je odbaciti čak i kad ruta postoji, jer paket dolazi s neočekivane adrese na neočekivanom sučelju. To je nesklad u dijagnostičkoj ravnini, a ne kvar aplikacije.

Proširivanje svakog selektora dok se trag ne dovrši čini sliku ljepšom, a politiku gorom. Popravite konkretnu dijagnostičku adresu ili prihvatite zvjezdicu i testirajte aplikaciju na drugi način.

Potvrdite tunel stvarnim zahtjevom

TCP rukovanje na vlastitom portu usluge provjerava prosljeđivanje, povratno usmjeravanje i filtriranje u smjeru koji je važan. Naredbe u nastavku rade na oba kraja i uspoređuju što svaka strana može otvoriti. Zamijenite port usluge i naziv sučelja tunela iz vlastitog postavljanja.

traceroute -I -n -w 2 203.0.113.40
traceroute -T -p 443 -n -w 2 203.0.113.40
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' --max-time 5 http://203.0.113.40:8080/health
ss -tan state established

Prvo pročitajte dva pokretanja traceroutea: ako ICMP pokretanje pokazuje skokove, a TCP pokretanje ne, razlika je u metodi, ne u putanji. Zatim uzmite rezultat curl kao odgovor na razini aplikacije, jer dovršena razmjena sa smislenim statusnim kodom znači da prednja i povratna putanja rade za stvarni promet. Popis socketa pokazuje je li veza uopće uspostavljena, što vam nijedan trag ne može reći.

Tunel koji nosi interaktivnu sesiju u oba smjera dok jedan traceroute ispisuje zvjezdice zdrav je i samo nefotogeničan. Čuvajte izlaz naredbi sa svake strane kao zapis i tretirajte skokove koji nedostaju kao otvoreno pitanje o dijagnostici, a ne kao presudu o VPN-u.