Неге traceroute VPN туннелінде бір бағытта өледі

Бір бағытта аяқталып, екінші бағытта жұлдызшалар қатарын басатын traceroute шығысы асимметриялық жіберуге ұқсайды, бірақ әдетте олай емес. Әр көрсетілген секіріс зондтың жетуін, маршрутизатордың жауап беруге шешім қабылдауын және жауаптың қайтып келіп зондпен сәйкестенуін талап етеді. Осы байланыстардың кез келгенін үзсеңіз, туннель деректерді тасымалдауды жалғастырған кезде қатар жұлдызшаға айналады.

Із көлік туралы дәлел болмас бұрын диагностика туралы дәлел. Сұрауға тұрарлық сұрақ — үш байланыстың қайсысы сәтсіз болды, және жауап шығыс пішінінен емес, пакеттерден келеді.

Жұлдызша — жетпеген жауап, жетпеген секіріс емес

traceroute әр раундта TTL бір маршрутизатор әрірек бітетін зондтар жіберу арқылы сыртқа жылжиды. Мерзімі біткен зондты тастайтын маршрутизатор өзін атайтын ICMP Time Exceeded хабарламасын қайтаруы керек, және құрал сол атауды басады. Құрал шын мәнінде сол хабарламаның тайм-аут ішінде келуін күтеді. Егер маршрутизатор басқа бастапқы адрестен жауап берсе, қателер жасау жиілігін шектесе немесе зондты сөзсіз тастаса, раунд басуға ештеңе бермейді.

Бұл нәтижелердің ешқайсысы алға жүретін жолдың бұзылғанын айтпайды. Жұлдызша жауапсыз хат туралы есеп, бос жол туралы емес.

Зонд әдісі қай сүзгіге тап болатыныңызды анықтайды

Linux-те әдепкі әдіс әдетте жоғары нөмірлі UDP межелі порт, Windows tracert ICMP жаңғырығын жібереді, ал Linux-ке оның орнына ICMP немесе TCP қолдануға бұйыруға болады. Олардың әрқайсысы күйі бар файрволға немесе бұлттық қауіпсіздік тобына трафиктің басқа түрі болып көрінеді. Бір жақтан UDP ізін екінші жақтан ICMP ізімен салыстыру екі түрлі экспериментті салыстырады. Нәтижелерді айырмашылық деп атамас бұрын әдісті, адрестер отбасын, бастапқы адресті және тайм-аутты бекітіңіз.

Әділ салыстыру үшін ізді трафикті шынымен тасымалдайтын хосттардан іске қосыңыз, олардың атынан жіберетін шлюзден емес. Маршрутизатор жасаған із оның өз бастапқы адресі мен шығыс саясатын пайдаланады, олар клиент көретін кез келген нәрседен қатаң болуы мүмкін. Нақты команданы жазып қойыңыз, келесі адам оны қайталай алатындай.

Тайм-аут мәні эксперименттің екінші жартысы, және оны жазбалардан тастап кету оңай. Тығыз жолда екі секунд күту жұлдызшаларды хабарлайды, ал бес секунд күту секірістерді хабарлайды. Барлық іске қосуларда мәнді бірдей ұстаңыз, салыстыру желі туралы болып қалсын.

Қайту жолы — өзінше маршрут

ICMP қатесі — өз бастапқы және межелі адресі бар қарапайым пакет, оған tracer-ге қайтатын жол қажет. Егер туннель саясаты LAN префикстерін тасыса, бірақ қатені тудырған маршрутизатор адресін тасымаса, хабарлама сізге жете алмайтын жолмен шығады. Жауаптарды сүзу оны маршрут бар болса да тастай алады, өйткені пакет күтпеген интерфейстегі күтпеген адрестен келеді. Бұл қосымшаның істен шығуы емес, диагностика жазықтығындағы сәйкессіздік.

Із аяқталғанша әр селекторды кеңейту суретті әдемі, саясатты нашар етеді. Нақты диагностикалық адресті жөндеңіз, немесе жұлдызшаны қабылдап, қосымшаны басқа жолмен тексеріңіз.

Туннельді нақты сұраныспен растаңыз

Қызметтің өз портындағы TCP қол алысуы маңызды бағытта жіберуді, қайту маршруттауын және сүзуді тексереді. Төмендегі командалар екі шетінде де жұмыс істейді және әр жақтың нені аша алатынын салыстырады. Қызмет порты мен туннель интерфейсінің атауын өз конфигурацияңыздан ауыстырыңыз.

traceroute -I -n -w 2 203.0.113.40
traceroute -T -p 443 -n -w 2 203.0.113.40
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' --max-time 5 http://203.0.113.40:8080/health
ss -tan state established

Алдымен екі traceroute іске қосылуын оқыңыз: ICMP іске қосуы секірістерді көрсетсе, TCP іске қосуы көрсетпесе, айырмашылық әдісте, жолда емес. Содан кейін curl нәтижесін қосымша деңгейіндегі жауап ретінде алыңыз, өйткені ақылға қонымды күй кодымен аяқталған айырбас алға және қайту жолдарының екеуі де нақты трафик үшін жұмыс істейтінін білдіреді. Сокеттер тізімі байланысудың жалпы орнатылғанын көрсетеді, мұны ешбір із айта алмайды.

Екі бағытта интерактивті сессия тасымалдап, бір traceroute жұлдызшалар басатын туннель сау және жай ғана фотоға түспейді. Әр жақтың команда шығысын жазба ретінде сақтаңыз, ал жетпеген секірістерді VPN туралы үкім емес, диагностика туралы ашық сұрақ деп қараңыз.