Hvernig greina má beiningarlykkju frá flökti á leið á VPN-síðum

Tvær síður, ein göng og forskeyti í fjarlægð sem svarar um hríð og þagnar svo. Viðbragðið er að kalla það beiningarlykkju, og stundum er það einmitt það. En lykkja og flöktandi leið valda sömu kvörtun og þurfa gagnstæðar viðgerðir: önnur er sendingarákvörðun sem lýkur aldrei, hin er forskeyti sem fer sífellt úr töflunni. Þrjár athuganir aðskilja þær, og þú getur safnað öllum þremur af skipanalínu gáttarinnar áður en þú snertir síu eða endurræsir göng.

Lykkja er ákveðin hopp fyrir hopp. Síða A velur B sem næsta hopp að áfangastað, B velur A fyrir sama áfangastað, og pakkinn rennur út á TTL eftir tvær ferðir fram og til baka. Flökt er hins vegar ákveðið af beiningarsamskiptareglunum: forskeytið er dregið til baka, sett upp aftur eða skipt út fyrir aðra næstu hopp, svo sumir pakkar hafa enga leið yfirleitt á meðan aðrir fylgja fullkomlega góðri.

Þrjár athuganir sem ráða spurningunni

Þú þarft ekki pakkaskráningu til að taka fyrstu ákvörðunina. Þú þarft stöðu forskeytisins á báðum endum, næsta hopp sem hvor hlið velur, og hoppfjölda sem endurtekur sig eða ekki. Ef forskeytið helst uppsett með sama næsta hoppi á meðan umferðin mistekst, lifir lykkjan í sendingarleiðinni. Ef forskeytið hverfur og kemur aftur er bilunin ofan sendingarinnar og viðgerðin tilheyrir beiningarsamskiptareglunum, ekki stakri leið.

Ein viðvörun áður en byrjað er. Ef þú lest þetta yfir göngin sem lykkjast mun lotan þín deyja um leið og þú breytir leiðinni. Opnaðu stjórnborð eða stjórnunarleið sem er ekki háð forskeytinu sem þú ert að fara að gera við.

Athugun ein: er forskeytið stöðugt eða skvettist

Spyrðu kjarnann hvað hann setti upp, ekki hvað stillingaskráin lofar. Á Linux-gátt keyrir ip route get 10.20.30.40 sömu uppflettingu og sendingarleiðin keyrir, þar á meðal stefnutöflur, en ip route show 10.20.30.0/24 sýnir færsluna sjálfa. ip monitor route streymir hverri breytingu um leið og hún verður, sem er fljótlegasta leiðin til að fylgjast með forskeyti koma og fara.

Á beini sem keyrir FRR eða BIRD er sendingartaflan ekki sú áhugaverða. show ip bgp 10.20.30.0/24 skilar völdu leiðinni og keyrslutíma hennar; keyrslutími sem endurstillist á nokkurra mínútna fresti er flökt sem þú getur nefnt, ekki lykkja. show ip bgp summary sýnir stöðu nágranna og fjölda forskeyta, svo nágranni sem fellur sífellt tekur sökina af sendingarleiðinni.

Skrifaðu svarið niður áður en þú breytir nokkru. Stöðugt í tíu mínútur á meðan ping mistókust, og horfið fjórum sinnum á tíu mínútum, leiða til mismunandi næstu skrefa. Annað gerir hverja kenningu um staka leið óviðkomandi.

Athugun tvö: bendir næsta hopp aftur inn í komugöngin

Lykkja þarf að tvær gáttir séu sammála. Á síðunni sem tekur við pakkanum skaltu skoða leiðina sem pakkinn mun nota til að fara: ip route get 10.20.30.40 from 10.10.5.20 með raunverulegu upprunavistfanginu, því stefnuregla getur svarað öðruvísi en aðaltaflan. Endurtaktu svo uppflettinguna á síðunni sem sendi hann. Ef hvor hlið velur hina sem næsta hopp fyrir sama forskeyti er lykkjan sönnuð og engin skráning bætir nokkru við.

Orsökin er næstum alltaf tilkynning sem átti ekki að fara yfir göngin. Sjálfgefin leið sem endurdreift er inn í göngin, samantekt sem nær yfir eigið undirnet fjarlægu síðunnar, eða stök leið sem bendir á jafningjann til öryggis skapa allar sama gagnkvæma næsta hopp. Göngin geta verið að fullu uppsett og samt borið umferð í hring; sendingarathugasemdir strongSwan lýsa beiningarhlið þeirrar kröfu.

WireGuard á skilið sína eigin athugasemd, því engin tilkynning er til að kenna um. wg show listar AllowedIPs hvers jafningja, og kjarninn samþykkir aðeins áfangastað fyrir jafningja ef hann fellur innan þess bils. Lykkja þar er skarast AllowedIPs-bil eða stök leið sem bendir aftur yfir viðmótið, svo viðgerðin lifir á þessum tveimur stöðum og hvergi annars staðar.

Athugun þrjú: lestu hoppfjöldann, ekki stjörnurnar

traceroute -n -I 10.20.30.40 og mtr -n -r -c 20 10.20.30.40 sýna bæði leiðina, og ICMP-hamur lifir oft af síun sem étur UDP-prufur. Lykkja lítur út eins og stutt endurtekin röð af sömu tveimur gáttarvistföngum þar sem TTL hækkar í hvert sinn. Fall lítur út eins og stjörnur eftir síðustu gáttina sem svaraði, og eitt hljóðlaust hopp er engin sönnun fyrir neinu.

Þegar leiðin er tvíræð skaltu lesa TTL á vírnum. tcpdump -ni any -vv icmp á báðum gáttum sýnir TTL hvers pakka og upprunavistfang hvers svars um tímaumframstig. Ef pakki nær til fjarlægu síðunnar með lægra TTL en fjölda þeirra hoppa sem leiðin getur haft í sér, bætir eitthvað við hoppum sem traceroute sýnir þér ekki, og það gerist þegar eldveggur einnar síðu svarar prufum fyrir hönd annarrar.

Gerðu við eiganda forskeytisins og staðfestu svo báðar áttir

Ákveddu hvaða síða myndar áfangastaðinn og hvaða gegnumstreymisleiðir eru leyfðar, og breyttu svo tilkynningunni eða stöku leiðinni hjá þeim eiganda. Að laga móttökusíðuna er freistandi og yfirleitt rangt: það felur lykkjuna fyrir einu forskeyti og skilur slæmu tilkynninguna eftir fyrir það næsta. Leiðarmerki, dreifilistar og split-horizon-reglur eru til að stöðva þetta við upptök, og þau eru ódýrari en sía sem passar við eitt forskeyti.

Eftir breytinguna skaltu staðfesta framleið og afturleið sérstaklega, því lykkja getur verið skipt út fyrir svarthol án sýnilegrar batna á einkenninu. Keyrðu ip route get frá báðum endum, sendu umferð frá hýsli sem er ekki gáttin, og láttu ip monitor route ganga í að minnsta kosti einn halda-tímamæli svo flökt sé ekki tekið fyrir viðgerð.

Áður en þú breytir nokkru skaltu staðfesta þessi fimm atriði: forskeytið er stöðugt eða skvettist, næsta hopp á báðum endum bendir á göng, hoppfjöldinn endurtekur sig eða ekki, ein síða á forskeytið, og þú hefur stjórnunarleið sem lifir breytinguna af. Ef eitt af fimm er óþekkt eru hin fjögur ágiskanir.