Эмне үчүн бардык ICMPны блоктоо иштеп жаткан VPN жолун бузат
Өлчөм тууралуу кайтарым байланыш билдирүүлөрү ping жооптору эмес. Алар эч качан жетпесе, кичине пакеттер өтөт, чоңдору жоголот, ал эми туннель титиреп жаткандай көрүнөт.
Аутентификациядан өтүп, ping ташып, анан биринчи чоң өткөрүүдө токтоп калган туннель — бул бузулган VPN эмес, жоголгон ICMP билдирүүсүнүн классикалык белгиси. Жөнөтүүчү пакет өтө чоң болгонун эч качан билбейт, ошол эле өлчөмдү кайталайт, ал эми колдонмо күтөт. Муну оңдоо — брандмауэр саясатынын чечими, кардарды кайра орнотуу эмес. Тартип маанилүү: өлчөм чеги кайда экенин өлчөп ал, анан отчётту жутуп койгон эрежени тарылт.
ICMP бул жолдо чындыгында эмнени ташыйт
IPv4 жолунун MTU аныктоосу don't-fragment бити коюлган пакетти жөнөтүү мүмкүн болбогонун маршрутизатор билдирүүсүнө таянат. Ошол билдирүү — ICMP Fragmentation Needed, ал эми ансыз жөнөтүүчүнүн сегмент өлчөмүн азайтууга себеби жок. IPv6 катаалыраак: маршрутизаторлор транзитте бөлүштүрбөйт, ошондуктан ICMPv6 Packet Too Big билдирүүсү жөнөтүүчүнү кичирейте турган жалгыз сигнал.
Эки билдирүү тең башкаруу тегиздигинин кайтарым байланышы, жана эч бири диагностикалык жаңыртуу эмес. pingди блоктогон саясат менен бардык ICMPны блоктогон саясат эрежелер тизмесинде окшош көрүнөт, бирок тармакта такыр башкача аракеттенет. Экинчиси туура өлчөнгөн туннелди чынжырдын эң кичине звеносунан чоңураак нерселердин баары үчүн бир багыттуу жолго айландырышы мүмкүн.
Айрым транспорттор өз аныктоосун зонд пакеттери менен ишке ашырат, RFC 4821 сүрөттөгөндөй, жана алар бул кайтарым байланышка азыраак көз каранды. Бул кайсы транспортту иштетип жатканыңызды текшерүүгө негиз, ар бир туннелди иммундуу деп эсептөөгө эмес.
| Билдирүү | Жолдогу максаты | Бөгөттөлсө |
|---|---|---|
| ICMPv4 түрү 3 коду 4 | Пакет кийинки звеного өтө чоң болду | Жөнөтүүчү кайталап, токтоп калат |
| ICMPv6 түрү 2 | Packet Too Big, IPv6нын баламасы | Ошол эле токтоп калуу, бөлүштүрүүнүн камдык вариантысыз |
| ICMP түрү 11 | Убакыт өттү, traceroute колдонот | Диагностика секириктерди жоготот, трафик ага берет |
| ICMP жаңыртуу суроосу жана жообу | Жеткиликтүүлүк сынагы | ping ийгиликсиз болот, жол жакшы болушу мүмкүн |
Ийгиликсиздик өлчөмгө көз каранды
Ийгиликсиздик пакеттин өлчөмүнө байланыштуубу, ошону сураңыз. Кирүү бети, DNS суроосу жана кыска API чакыруусу өтөт, ал эми файл жүктөө, чоң жооп же сүрөт жүктөө токтоп калат. Бул үлгү эки учтун ортосунда бир жерде өлчөм чегине көрсөтөт, аутентификацияга же маршруттоого эмес. Ийгиликтүү кичине ping бул чектин кайда экени тууралуу дээрлик эч нерсе айтпайт.
Туннелдин ичинде эки катмарды эске алуу керек: пайдалуу жүк пакети жана сырткы инкапсуляцияланган пакет. Ички жөнөтүүчү туура аракеттениши мүмкүн, ал эми сырткы жол туннел болжолдогондон кичине болушу мүмкүн, ошондуктан туннелдин өз MTU жөндөөсү да, анын астындагы физикалык звеносу да маанилүү.
Эрежелерди оңдоодон мурун өлчөңүз
don't-fragment бити жана өзүңүз тандаган пайдалуу жүк өлчөмү менен зонддонуз, ийгиликсиз кардардан корголгон дарекке карай:
ping -M do -s 1472 10.20.5.7
ping -M do -s 1300 10.20.5.71472 байт пайдалуу жүк плюс 28 байт аталыш 1500 байт пакетти түзөт. Эгер чоң зонд бөлүштүрүү катасы менен ийгиликсиз болуп, кичинеси өтсө, чекти таптыңыз; туннелдин кошумча чыгымын эске алып, иштөөчү өлчөм туруктуу болгонго чейин кайталаңыз.
Анан алкак отчёттун өзү экенин ырастаңыз. Эгер зонд үнсүз ийгиликсиз болсо, катасыз жана жоопсуз, билдирүү жеткирилбей, ыргытылып жатат, ал эми шектүү — эреже.
Эрежени тарылтыңыз, анан тапшырманы кайра текшериңиз
Оңдоо конкреттүү башкаруу билдирүүлөрүнө уруксат бериши керек, бүт протоколго эмес. iptables хостойдо форма — түргө тиешелүү уруксат; синтаксисти платформаңызда брандмауэрди башкаруучуга ылайыкташтырыңыз:
iptables -I INPUT -p icmp --icmp-type fragmentation-needed -j ACCEPT
ip6tables -I INPUT -p icmpv6 --icmpv6-type packet-too-big -j ACCEPTЭгер бул жергиликтүү саясат болсо, жаңыртуу жоопторун бөгөттөлгөн бойдон калтырыңыз, анткени жолго алар керек эмес. Анан баштапкы ийгиликсиз болгон өткөрүүнү жаңы туташуудан кайра текшерип, эреже эсептегичтери билдирүүлөрдүн келип жатканын көрсөтүп жатканын ырастаңыз.
Эгер билдирүүлөргө уруксат берилгенден кийин да чоң өткөрүү токтоп калса, калган чектөө башка жерде: өтө бийик коюлган туннелдин MTUсу, пакеттерди кайра жазуучу прокси же билдирүүнүн ордуна ыргытуучу ортоңку түзмөк. ICMP эрежеси зарыл эле, бирок жетиштүү эмес.