Pengalihan ICMP versus rute VPN Anda: apa yang sebenarnya berubah

Aliran yang seharusnya melewati terowongan mengambil hop berikutnya yang berbeda, dan seseorang menemukan pengalihan ICMP dalam rekaman. Itu hipotesis, bukan diagnosis. Pengalihan adalah saran router tentang hop berikutnya yang lebih baik, dan apakah host bertindak berdasarkan itu bergantung pada pengaturan yang berbeda menurut platform, antarmuka, dan keluarga alamat.

Pengalihan adalah saran dari router

Pengalihan ICMP IPv4 memiliki tipe pesan sendiri dan serangkaian kondisi yang sempit: router meneruskan paket keluar melalui antarmuka tempat paket itu tiba, dan ia mengetahui hop berikutnya pada tautan yang sama yang lebih dekat ke tujuan. Lalu ia memberi tahu pengirim untuk memakai hop berikutnya itu secara langsung. Pesan tersebut menyebut gateway baru dan menyertakan sebagian paket asli agar pengirim dapat mencocokkannya dengan aliran. Ini pesan kesopanan tentang topologi lokal, dan mengasumsikan pengirim berbagi tautan dengan gateway yang disarankan.

Pengirim bebas mengabaikannya. Tidak ada apa pun dalam protokol yang mewajibkan host mengubah tabelnya, dan pengalihan yang terekam hanya membuktikan bahwa sebuah router mengirimkannya.

Pada pembedaan itulah sebagian besar penyelidikan pengalihan salah arah.

IPv4 dan IPv6 mengirimkannya dengan cara berbeda

IPv6 memiliki mekanisme serupa di dalam penemuan tetangga, bukan di ICMPv4, dengan format pesan dan aturan validasi yang berbeda. Konsepnya serupa, paketnya tidak. Filter rekaman yang ditulis untuk ICMP tipe 5 tidak akan menampilkan apa pun di jaringan IPv6, yang kadang dibaca sebagai bukti tidak terjadi pengalihan.

Tombol kebijakannya juga terpisah, sehingga host dapat menerima pengalihan IPv4 dan mengabaikan yang IPv6, atau sebaliknya.

Periksa kedua keluarga jika aliran yang dimaksud mungkin memakai salah satunya.

Penerimaan adalah kebijakan host, bukan fakta jaringan

Di Linux, penerimaan pengalihan dikendalikan per antarmuka dan secara global, dan nilai bawaannya berbeda antara peran host dan router. Antarmuka terowongan yang menerima pengalihan adalah rancangan yang aneh, karena di dalam terowongan titik-ke-titik tidak ada hop berikutnya alternatif yang bermakna pada tautan yang sama. Itu membuat pengaturan tersebut layak dibaca daripada diasumsikan.

Pengaturan pengalihan aman lebih membatasi gateway mana yang boleh dipercaya.

Jika Anda memperketat host, itulah tombol yang perlu ditinjau, dan itu juga sebabnya dua mesin di jaringan yang sama dapat berperilaku berbeda. Ubah sebagai kebijakan, bukan sebagai jalan pintas penelusuran kesalahan.

Apa yang tidak dapat dijelaskan pengalihan

Rute spesifik, aturan perutean kebijakan, dan antarmuka lokal menjelaskan sebagian besar jalur tak terduga tanpa pengalihan apa pun. Prefiks yang lebih spesifik, aturan yang cocok dengan alamat sumber, atau default kedua di tabel lain masing-masing akan mengalahkan rute yang Anda harapkan. Periksa itu lebih dulu, karena bersifat deterministik dan terlihat.

Rekaman lama adalah jebakan lainnya, karena klien yang berganti jaringan memiliki gateway lokal yang berbeda.

Pengalihan lama dari sambungan sebelumnya tidak menjelaskan apa pun tentang jalur saat ini, jadi catat antarmuka mana yang menerima lalu lintas kendali sekarang.

Periksa rute sebelum menyalahkan terowongan

Tanyakan kepada kernel rute mana yang akan dipakainya untuk tujuan itu, lalu bandingkan dengan tabel yang Anda maksudkan. Jika jawabannya cocok dengan tabel, tidak ada pengalihan yang mengubah apa pun dan penyelidikan berada di tempat lain. Jika tidak cocok, carilah pengalihan yang tersimpan di cache, aturan kebijakan, atau tabel kedua sebelum menganggap terowongan bersalah. Pencarian itu adalah kebenaran dasar, dan sisanya hanyalah kisah tentang bagaimana ia sampai ke sana.

Pengalihan tidak boleh menjadi alasan jalur yang terlindungi diam-diam menjadi tidak terlindungi, dan itulah sebabnya kebijakan penerimaan masuk ke tinjauan rancangan. Definisi RFC 792 tetap menjadi acuan tentang apa yang boleh dikatakan pesan IPv4.

Tuliskan pencarian rute dan stempel waktu rekaman bersama-sama, dan orang berikutnya dapat mereproduksi kesimpulan Anda.