Linux EHOSTUNREACH OpenVPN-мен: қай келесі хоп сәтсіз болды?

EHOSTUNREACH қашықтағы ақау сияқты жиі жергілікті шешім болады. Ядро пакетті қабылдамауы мүмкін, өйткені маршрут межелі орынның жетпейтінін айтады, өйткені Ethernet-тің келесі хопы ешқашан жауап бермеді, немесе өйткені жолдың әрісінен ICMP host-unreachable есебі келді. Әрбір көз әртүрлі кестеде немесе кэште өмір сүреді және әрқайсысы әртүрлі жерде түзетіледі. Шифрларға тимес немесе туннельді қайта орнатпас бұрын таңдалған маршрутты және келесі хоптың күйін оқыңыз.

Клиент шын мәнінде қолданатын мекенжай мен аттар кеңістігін таңдаңыз

Қатені тудырған межелі орын мен желілік аттар кеңістігін бекітуден бастаңыз. VPN клиенті өз аттар кеңістігінде жұмыс істеуі мүмкін, ал әдепкі аттар кеңістігінен жасалған іздеу басқа саясат ережелері бар басқа маршруттау кестесін қарайды.

Іздеу сәтсіз болып жатқан қолданбамен бірдей көз, белгі және кесте контекстін қолдануы керек, әйтпесе ол ешкім қоймаған сұраққа жауап беруі мүмкін. Мысал ретіндегі IPv4 әріптесі үшін тек оқуға арналған тексерулер мыналар:

ip -4 route get 198.51.100.25
ip -4 neigh show 198.51.100.1
ip -4 route show table all | grep -w unreachable

Әкімшілік shell-ден алынған нәтиже сол shell-дің не істейтінін ғана дәлелдейді. Егер клиент firewall белгісін орнатса немесе VRF-ке байланса, іздеуді сәйкес белгімен немесе VRF ішінде қайталап, таңдалған маршрут пен келесі хопты салыстырыңыз. Расталатын бірінші мекенжай профильдегі әріптес мекенжайы, пайдаланушы атайтын кластер немесе қызмет емес.

Айқын жетпейтін маршрут пакетті жергілікті түрде қабылдамайды

unreachable түріндегі маршрут қасақана жергілікті жауап болып табылады. Ол ядроға пакетті тастап, EHOSTUNREACH-ты жіберушіге қайтаруды айтады, сондықтан қате бірден және машинадан ешқандай қозғалыс шықпай пайда болады. Біреу немесе қандай да бір автоматтандыру бұл маршрутты әдейі сонда қойған.

Маршрут түрлері бір-бірін алмастырмайды. Blackhole пакетті жіберушіге қатесіз тастайды, prohibit EACCES қайтарады, ал unreachable EHOSTUNREACH қайтарады. Сондықтан қайта қосылу кезінде шөгінді маршрут орнататын VPN көмекшісі туннель көтерілгенде жоғалатын host-unreachable қателерінің жарылысын тудыруы мүмкін, ал blackhole маршруты оның орнына үнсіз тайм-ауттар тудырар еді.

Қашықтағы жақты кінәламас бұрын барлық кестелерден түрді іздеңіз. Кестені таңдайтын ереже ішіндегі маршрут сияқты маңызды, ал негізгі кестеге қосылған маршрут саясат ережесі қозғалысын басқа жерге жіберетін клиентке көмектеспейді.

Өлі көрші Ethernet-те сол қатені тудырады

Таңдалған маршрут буындағы шлюзді қолданса, жеткізу үшін шешілген буын қабатының мекенжайы қажет. Ядро ARP немесе IPv6 көрші сұрауын жібереді, ал жауап келмесе пакетті кадрлау мүмкін емес. Сонда жіберу маршруттың өзі жарамды болса да EHOSTUNREACH-пен сәтсіз аяқталады.

Көршілер кестесі кезеңді атайды. INCOMPLETE шешім әлі жүріп жатқанын, FAILED соңғы әрекеттің жауап алмағанын, ал REACHABLE немесе STALE ядроның пайдалануға жарамды мекенжайы бар екенін білдіреді. VPN шлюзі үшін FAILED жазбасы жергілікті жеткізу мәселесі, туннельдің қашықтағы жағы туралы дәлел емес.

Жазбаны нақты келесі хоп үшін оқыңыз, қашықтағы интернет мекенжайы үшін емес. Қашықтағы мекенжайға әдетте маршрутизатор арқылы жетеді, сондықтан оның өзіндік ARP жазбасы болмайды; оны сұрау — ешқашан болмауы тиіс жазбаны іздеуге жіберетін санаттық қате.

Қашықтағы есептер және асинхронды UDP қателері

EHOSTUNREACH сырттан да келуі мүмкін. Пакетті жібере алмайтын маршрутизатор ICMP host unreachable жіберуі мүмкін, ал ядро бұл есепті ағынды иеленетін сокетке береді. Бұл жағдайда маршрут пен көрші дұрыс, ал ақау жергілікті желіден тыс хопқа жатады.

UDP телуді қиындатады. Кейінгі жіберу немесе қабылдау шақыруы қайтарған қате бұрынғы датаграммаға қатысты болуы мүмкін, сондықтан сәтсіз шақырудың мекенжайы мен уақыты есепті тудырған пакетке сәйкес келмеуі мүмкін. Қосылған UDP сокеті қатені бір рет алады, ал қосылмаған сокет оны ешқашан көрмеуі мүмкін.

Сондықтан уақыт дәлелдердің бөлігі. Қате қашан пайда болғанын, сокет қай әріптес мекенжайын қолданғанын және туннель жаңа ғана қайта қосылғанын жазып алыңыз. Маршрут өзгергеннен кейінгі лездегі жарылыс жергілікті кестеге нұсқайды; тұрақты ағынның бірнеше минутынан кейінгі жалғыз қате жол есебіне нұсқайды.

Криптоны өзгертуден бұрын қабаттарды бөліңіз

Үш сұрақ қатені жіктейді. Ядро межелі орынды қабылдамайтын маршрут таңдады ма? Ол жарамды маршрут таңдап, бірақ келесі хопты шеше алмады ма? Әлде жергілікті желіден тыс жерден есеп келді ме? Тек үшінші жағдай туннельдің қашықтағы ұшын қамтуы мүмкін, тіпті сонда да шифрлауды қамтымайды.

Аутентификация және келіссөз мәселелері тасымал әріптеске жеткеннен кейін өз қателері ретінде көрінеді. Шифрды ауыстыру немесе клиентті қайта орнату жергілікті unreachable маршрутын түзете алмайды және нақты себеп үшін қажет маршрут пен көрші дәлелдерін жояды.

Бірінші өзгеріске дейін межелі орынды, аттар кеңістігін, таңдалған кестені, келесі хопты, көрші күйін және қате уақытын жазыңыз. Түзетуден кейін сол іздеуді қайта орындаңыз; енді туннельге нұсқайтын маршрут пен енді шешілетін көрші жазбасы байланыссыз мекенжайға сәтті ping-нен күштірек дәлел.