Ping í gegnum VPN: hvers vegna reglur um bergmálssvar misfara afturleiðina

Sendu ping á hýsil í gegnum VPN og beiðnin fer út sem ein ICMP-gerð og kemur til baka sem önnur, sem er nóg til að rugla hvaða reglu sem er skrifaða í hliðum. Í bergmálsskiptum er ekkert áfangahlið þjónustu til að afrita í afturregluna, og sía sem væntir samhverfu mun henda svarinu á meðan beiðnin fer óhindrað í gegn. Lagfæringin byrjar á að lesa pakkann eins og hann er í raun og veru, og síðan á að ákveða hvaða mörk á leiðinni taka ákvörðunina. Venjulega vinna tvö lög á meðan þriðja hendir svarinu hljóðlaust. Kaflarnir hér fyrir neðan aðskilja þau í þeirri röð sem pakki mætir þeim.

Pakkinn breytir gerð, ekki hlið

Bergmálsbeiðni er ICMP gerð 8, kóði 0, og ber auðkenni og raðnúmer. Svarið er gerð 0, kóði 0, með sama auðkenni og raðnúmeri, og IP-endapunktarnir eru víxlaðir. RFC 792 skilgreinir þessi svæði, og auðkennið er það sem gerir sendanda kleift að para svör við eigin beiðnir.

Það sem vantar er jafn mikilvægt: enginn TCP- eða UDP-haus er til staðar, þannig að ekkert hlið er til að leyfa. Regla sem nefnir hlið fyrir bergmálssvar lýsir pakka sem mun aldrei verða til. Þetta er algengasta mistökið í ping-miðum VPN. Reglan virðist sértæk, á við ekkert og skilur bilunina nákvæmlega þar sem hún var.

Þrjú samhengi ráða pakkanum

Ef pingið miðar á hýsil á fjarlæga LAN-inu verður gáttin að framsenda beiðnina. Ef það miðar á vistfang sem tilheyrir gáttinni sjálfri endar það í staðbundinni inntaksleið. Ef gáttin hleypir pinginu af stað byrjar pakkinn í eigin úttaksleið og fer alls ekki yfir framsendingarákvörðunina.

Þessi þrjú samhengi hafa mismunandi reglukeðjur og mismunandi teljara, og að meðhöndla þau sem eitt er ástæðan fyrir því að „eldveggurinn leyfir ICMP“ getur samt gefið mistekinn ping. Ytri göngin eru fjórða samhengið: að leyfa VPN-hlustaranum leyfir ekki sjálfkrafa afhjúpaðu innri beiðnina, og innra leyfi segir ekkert um hvort ytri göngin séu uppi.

Stöðufylgnar og stöðulausar síur meðhöndla svarið á mismunandi hátt

Stöðufylgnin eldveggur sem sá beiðnina fara út getur tengt svarið þeirri streymi og hleypt því inn án annarrar reglu. Stöðulaus sía hefur ekki slíka minni, svo afturáttin þarf eigið skýrt leyfi, með upptök og áfangastað víxluðum.

Athugaðu hvaða líkan varan innleiðir í raun áður en þú skrifar eitthvað. Regla fyrir bergmálsbeiðni nær ekki endilega yfir bergmálssvar, og vara sem fylgist með ICMP-fyrirspurnum getur samt beitt annarri stefnu á svör sem berast á aðra tengi.

Takmarkaðu það sem þú leyfir. Að leyfa hvert bergmálssvar hvaðan sem er er ekki það sama og að ljúka stöðutengingu, og gerðarnúmer sannar ekki sendandann.

Þýðing breytir auðkenninu líka

Ef upprunasþýðing er viljandi passar túpullinn í fjarlæga endanum ekki við þann sem biðlarinn sendi. NAT getur þýtt auðkenni ICMP-fyrirspurnarinnar ásamt vistföngunum, svo að krefjast þess að sama númer birtist á báðum hliðum skapar falskt misræmi.

Tengdu í staðinn þá vörpun sem þýðandinn greinir frá. Þýðandi sem endurskrifar auðkennið varðveitir ekki númerið sem biðlarinn þinn skráði, svo líttu á vörpunina sem auðkennið frekar en númerið. Fylgdu síðan einni auðþekkjanlegri beiðni eftir leiðinni: staðfestu að hún nái áfangastað með væntu upptökin, staðfestu að áfangastaðurinn sendi svar, fylgdu leið þess svars til baka, og staðfestu að biðlarinn hafi fengið það frekar en að horfa bara á teljara gáttarinnar hækka.

Ekki bræða ICMP-villur inn í bergmálsstefnuna

Skilaboðin „sundrun nauðsynleg“ sem leiðar-MTU uppgötvun notar eru ekki bergmálssvar, og farmur þeirra vitnar í pakkann sem olli þeim. Leyfi aðeins fyrir bergmál sem hendir þessum villum hljóðlaust breytir stærðarvandamáli í hangandi tengingu, sem er andstæða gagnsemi.

Sama varúð á við um vistfangafjölskyldur. ICMPv6 notar aðrar skilaboðagerðir og ber nauðsynlega virkni sem IPv4 hefur ekki, svo að afrita þessi númer í IPv6-reglu er einfaldlega rangt.

Þegar bergmálsskiptin virka skaltu prófa raunverulega forritið sérstaklega. Árangursríkt ping sannar ferð fram og til baka eins samskiptareglna í einni stærð á einn áfangastað, og það er ekki leyfi til að gera ráð fyrir að HTTPS, SMB eða hvaða önnur streymi sem er sé leyft.