Linux EHOSTUNREACH OpenVPN менен: кайсы кийинки хоп ишке ашкан жок?

EHOSTUNREACH алыскы ката сыяктуу эле жергиликтүү чечим болуп саналат. Ядро пакетти четке кагышы мүмкүн, анткени маршрут бара турган жер жеткиликсиз деп айтат, анткени Ethernetтин кийинки хопу эч качан жооп берген жок, же анткени жолдун арыраак бөлүгүнөн ICMP host-unreachable отчету келди. Ар бир булак башка таблицада же кэште жашайт жана ар бири башка жерде оңдолот. Шифрларды кармоодон же туннелди кайра орнотуудан мурун тандалган маршрутту жана кийинки хоптун абалын окуңуз.

Клиент чындыгында колдонгон даректи жана аттар мейкиндигин тандаңыз

Катаны жараткан бара турган жерди жана тармактык аттар мейкиндигин бекемдөөдөн баштаңыз. VPN клиенти өзүнүн аттар мейкиндигинде иштеши мүмкүн, ал эми демейки аттар мейкиндигинен жасалган издөө башка саясат эрежелери бар башка маршруттоо таблицасын карайт.

Издөө ишке ашпай жаткан колдонмо менен бирдей булак, белги жана таблица контекстин колдонушу керек, болбосо эч ким бербеген суроого жооп бериши мүмкүн. Мисал катары IPv4 өнөктөшү үчүн гана окуу текшерүүлөрү булар:

ip -4 route get 198.51.100.25
ip -4 neigh show 198.51.100.1
ip -4 route show table all | grep -w unreachable

Административдик кабыктан алынган жыйынтык ошол кабык эмне кыларын гана далилдейт. Эгер клиент firewall белгисин коюп же VRFке байланса, издөөнү тиешелүү белги менен же VRFтин ичинде кайталап, тандалган маршрутту жана кийинки хопту салыштырыңыз. Ырастоо керек болгон биринчи дарек профилдеги өнөктөштүн дареги, колдонуучу атаган кластер же кызмат эмес.

Ачык жеткиликсиз маршрут пакетти жергиликтүү түрдө четке кагат

unreachable түрүндөгү маршрут атайын жергиликтүү жооп болуп саналат. Ал ядрого пакетти таштап, EHOSTUNREACHти жөнөтүүчүгө кайтарууну айтат, ошондуктан ката дароо жана машинадан эч кандай кыймыл чыкпастан пайда болот. Бирөө же кандайдыр бир автоматташтыруу бул маршрутту атайын ошол жерге койгон.

Маршрут түрлөрү бири-бирин алмаштырбайт. Blackhole пакетти жөнөтүүчүгө катасыз таштайт, prohibit EACCES кайтарат, ал эми unreachable EHOSTUNREACH кайтарат. Ошондуктан кайра туташуу учурунда чөгүү маршрутун орноткон VPN жардамчысы туннель көтөрүлгөндө жоголуучу host-unreachable каталарынын жарылышын жаратышы мүмкүн, ал эми blackhole маршруту анын ордуна унчукпай тайм-ауттарды жаратмак.

Алыскы четти күнөөлөөдөн мурун бардык таблицалардан түрдү издеңиз. Таблицаны тандаган эреже ичиндеги маршрут сыяктуу эле маанилүү, ал эми негизги таблицага кошулган маршрут саясат эрежеси кыймылын башка жакка жиберген клиентке жардам бербейт.

Өлүк кошуна Ethernetте ошол эле катаны жаратат

Тандалган маршрут шилтемедеги дарбазаны колдонсо, жеткирүү үчүн чечилген шилтеме катмарынын дареги керек. Ядро ARP же IPv6 кошуна суроосун жиберет, ал эми жооп келбесе пакетти кадрлоо мүмкүн эмес. Андан кийин жөнөтүү маршруттун өзү жарактуу болсо да EHOSTUNREACH менен ишке ашпайт.

Кошуналар таблицасы баскычты атайт. INCOMPLETE чечим али жүрүп жатканын, FAILED акыркы аракет жооп албаганын, ал эми REACHABLE же STALE ядронун колдонууга жарактуу дареги бар экенин билдирет. VPN дарбазасы үчүн FAILED жазуусу жергиликтүү жеткирүү маселеси, туннелдин алыскы жагы тууралуу далил эмес.

Жазууну чыныгы кийинки хоп үчүн окуңуз, алыскы интернет дареги үчүн эмес. Алыскы дарекке адатта маршрутизатор аркылуу жетишет, ошондуктан анын өзүнүн ARP жазуусу болбойт; аны суроо — эч качан болбошу керек болгон жазууну издеп жиберүүчү категориялык ката.

Алыскы отчеттор жана асинхрондук UDP каталары

EHOSTUNREACH сырттан да келиши мүмкүн. Пакетти өткөрүп жибере албаган маршрутизатор ICMP host unreachable жибериши мүмкүн, ал эми ядро бул отчетту агымды ээлеген сокетке берет. Бул учурда маршрут жана кошуна жакшы, ал эми бузулуу жергиликтүү тармактан тышкаркы хопко таандык.

UDP таандык кылууну кыйындатат. Кийинки жөнөтүү же кабыл алуу чакырыгы кайтарган ката мурунку датаграммага тиешелүү болушу мүмкүн, ошондуктан ишке ашпаган чакырыктын дареги жана убактысы отчетту пайда кылган пакетке дал келбеши мүмкүн. Туташкан UDP сокети катаны бир жолу алат, ал эми туташпаган сокет аны такыр көрбөшү мүмкүн.

Ошондуктан убакыт далилдердин бөлүгү. Ката качан пайда болгонун, сокет кайсы өнөктөш дарегин колдонгонун жана туннель жаңы эле кайра туташканбы аны жазып алыңыз. Маршрут өзгөргөндөн кийинки дароо жарылыш жергиликтүү таблицага көрсөтөт; туруктуу агымдын бир нече минутасынан кийинки жалгыз ката жол отчетуна көрсөтөт.

Криптону өзгөртүүдөн мурун катмарларды бөлүңүз

Үч суроо катаны классификациялайт. Ядро бара турган жерди четке кагуучу маршрутту тандадыбы? Ал жарактуу маршрутту тандап, бирок кийинки хопту чече албадыбы? Же жергиликтүү тармактан тышкары жерден отчет келдиби? Үчүнчү учур гана туннелдин алыскы учун камтышы мүмкүн, жана анда да шифрлоону камтыбайт.

Аутентификация жана сүйлөшүү маселелери транспорт өнөктөшкө жеткенден кийин өз каталары катары көрүнөт. Шифрды алмаштыруу же клиентти кайра орнотуу жергиликтүү unreachable маршрутун оңдой албайт жана чыныгы себеп үчүн керектүү маршрут менен кошунанын далилдерин жок кылат.

Биринчи өзгөртүүдөн мурун бара турган жерди, аттар мейкиндигин, тандалган таблицаны, кийинки хопту, кошунанын абалын жана катанын убактысын жазыңыз. Оңдоодон кийин ошол эле издөөнү кайра иштетиңиз; эми туннелге көрсөтүп турган маршрут жана эми чечилип жаткан кошуна жазуусу байланышсыз дарекке ийгиликтүү pingден күчтүүрөөк далил.