VPN арқылы ping: неге эхо жауабының ережелері қайтару жолын өткізіп жібереді

VPN арқылы хостқа ping жіберіңіз: сұраныс бір ICMP түрімен шығып, басқа түрімен оралады, бұл порттар тұрғысынан жазылған кез келген ережені шатастыруға жетеді. Эхо алмасуында қайтару ережесіне көшіруге болатын мақсатты қызмет порты жоқ, ал симметрияны күтетін сүзгі сұраныс кедергісіз өтіп жатқанда жауапты тастайды. Түзету пакетті нақты күйінде оқудан, содан кейін жолдағы қай шекара шешім қабылдап жатқанын анықтаудан басталады. Әдетте екі қабат жұмыс істейді, ал үшіншісі жауапты үнсіз тастайды. Төмендегі бөлімдер оларды пакет кездесетін ретпен ажыратады.

Пакет портты емес, түрді өзгертеді

Эхо сұранысы — ICMP 8 түрі, 0 коды, ол сәйкестендіргіш пен реттік нөмірді тасымалдайды. Жауап — 0 түрі, 0 коды, сол сәйкестендіргіш пен реттік нөмірмен, ал IP ұштары ауыстырылған. Бұл өрістерді RFC 792 анықтайды, және дәл сәйкестендіргіш жіберушіге жауаптарды өз сұраныстарымен сәйкестендіруге мүмкіндік береді.

Жоқ нәрсе де соншалықты маңызды: TCP немесе UDP тақырыбы жоқ, сондықтан рұқсат ететін порт та жоқ. Эхо жауабына порт атайтын ереже ешқашан болмайтын пакетті сипаттайды. Бұл VPN ping билеттеріндегі ең көп тараған қате. Ереже нақты көрінеді, ешнәрсеге қолданылмайды және ақауды дәл қай жерде болса, сонда қалдырады.

Пакетті үш контекст шешеді

Егер ping алыс LAN-дағы хостты меңзесе, сұранысты шлюз қайта бағыттауы керек. Егер ол шлюздің өзіне тиесілі мекенжайды меңзесе, ол жергілікті кіріс жолында аяқталады. Егер ping-ді шлюз өзі бастаса, пакет өзінің шығыс жолында басталып, қайта бағыттау шешімінен мүлдем өтпейді.

Бұл үш контекстің ереже тізбектері мен санауыштары әртүрлі, және оларды бір деп қарау — «firewall ICMP-ге рұқсат береді» дегенімен ping сәтсіз болуының себебі. Сыртқы туннель — төртінші контекст: VPN тыңдаушысына рұқсат беру декапсуляцияланған ішкі сұранысқа автоматты түрде рұқсат бермейді, ал ішкі рұқсат сыртқы туннельдің жұмыс істеп тұрғаны туралы ештеңе айтпайды.

Күйі бар және күйсіз сүзгілер жауапты әртүрлі өңдейді

Сұраныстың шыққанын көрген күйі бар firewall жауапты сол ағынға байланыстырып, екінші ережесіз өткізе алады. Күйсіз сүзгіде мұндай жады жоқ, сондықтан қайтару бағытына өзінің айқын рұқсаты қажет, дереккөз бен меже ауыстырылып.

Бірдеңе жазбас бұрын өнімнің қай модельді іс жүзінде қолданатынын тексеріңіз. Эхо сұранысына арналған ереже эхо жауабын міндетті түрде қамтымайды, ал ICMP сұрауларын қадағалайтын өнім басқа интерфейске келетін жауаптарға басқа саясат қолдануы мүмкін.

Рұқсат ететін ауқымыңызды шектеңіз. Кез келген жерден барлық эхо жауабына рұқсат беру күйі бар байланысты аяқтаумен бірдей емес, ал түр нөмірі жіберушінің кім екенін дәлелдемейді.

Аударма сәйкестендіргішті де өзгертеді

Егер дереккөз аудармасы әдейі болса, алыс ұштағы кортеж клиент жібергенмен сәйкеспейді. NAT ICMP сұрауының сәйкестендіргішін мекенжайлармен бірге аудара алады, сондықтан екі жақта бір нөмір көрінуі керек деп талап ету жалған сәйкессіздік тудырады.

Оның орнына аудармашы хабарлаған бейнелеумен байланыстырыңыз. Сәйкестендіргішті қайта жазатын аудармашы клиентіңіз тіркеген нөмірді сақтамайды, сондықтан бейнелеуді сәйкестік деп қабылдаңыз, нөмірді емес. Содан кейін бір танылатын сұранысты жол бойымен қадағалаңыз: оның күтілетін дереккөзбен межеге жететінін растаңыз, меженің жауап шығарғанын растаңыз, сол жауаптың қайтару маршрутын қадағалаңыз, және клиенттің оны алғанын растаңыз, шлюз санауышының өсуін ғана тамашаламай.

ICMP қателерін эхо саясатына қоспаңыз

Жолдың MTU анықтауы қолданатын «фрагментация қажет» хабарламасы эхо жауабы емес, және оның пайдалы жүктемесі оны тудырған пакетті дәйексөздейді. Тек эхоға рұқсат беру сол қателерді үнсіз тастап, өлшем мәселесін ілініп тұрған қосылымға айналдырады, бұл пайдалылыққа керісінше.

Дәл осы сақтық мекенжай отбасыларына да қатысты. ICMPv6 басқа хабарлама түрлерін пайдаланады және IPv4-те жоқ маңызды функцияларды тасымалдайды, сондықтан бұл нөмірлерді IPv6 ережесіне көшіру жай ғана қате.

Эхо алмасуы жұмыс істегенде нақты қолданбаны бөлек тексеріңіз. Сәтті ping бір протоколдың бір өлшеммен бір межеге барып-қайтуын дәлелдейді, және бұл HTTPS, SMB немесе кез келген басқа ағынға рұқсат бар деп болжауға лицензия емес.