VPN аркылуу ping: эмнеге эхо жообунун эрежелери кайтуу жолун өткөрүп жиберет

VPN аркылуу хостко ping жөнөтсөңүз, сурам бир ICMP түрү менен чыгып, башка түрү менен кайтат, бул порттор боюнча жазылган каалаган эрежени адаштырууга жетишет. Эхо алмашуусунда кайтуу эрежесине көчүрүүгө боло турган максаттуу тейлөө порту жок, ал эми симметрияны күткөн чыпка сурам тоскоолдуксуз өтүп жатканда жоопту таштайт. Оңдоо пакетти анын чыныгы абалында окуудан, андан кийин жолдогу кайсы чек чечим кабыл алып жатканын аныктоодон башталат. Адатта эки катмар иштейт, үчүнчүсү жоопту үнсүз таштайт. Төмөнкү бөлүмдөр аларды пакет кезиккен тартипте ажыратат.

Пакет портту эмес, түрдү өзгөртөт

Эхо сурамы ICMP 8 түрү, 0 коду болуп, идентификатор жана ырааттуулук номерин алып жүрөт. Жооп 0 түрү, 0 коду, ошол эле идентификатор жана ырааттуулук менен, IP учтары алмаштырылган. Бул талааларды RFC 792 аныктайт, жана дал идентификатор жөнөтүүчүгө жоопторду өз сурамдары менен дал келтирүүгө мүмкүндүк берет.

Жок нерсе да ошончолук маанилүү: TCP же UDP аталышы жок, демек уруксат берүүчү порт да жок. Эхо жообуна порт атаган эреже эч качан болбой турган пакетти сүрөттөйт. Бул VPN ping билеттериндеги эң кеңири тараган ката. Эреже так көрүнөт, эч нерсеге колдонулбайт жана бузулушту кайсы жерде болсо, ошол жерде калтырат.

Пакетти үч контекст чечет

Эгер ping алыскы LANдагы хостту көздөсө, сурамды шлюз багытташы керек. Эгер ал шлюздун өзүнө таандык даректи көздөсө, ал жергиликтүү кирүү жолунда бүтөт. Эгер pingди шлюз өзү баштаса, пакет өзүнүн чыгуу жолунда башталып, багыттоо чечиминен такыр өтпөйт.

Бул үч контексттин эреже тизмектери жана эсептегичтери ар башка, жана аларды бир деп кароо «firewall ICMPге уруксат берет» дегени менен ping ийгиликсиз болушунун себеби. Сырткы туннель төртүнчү контекст: VPN угуучусуна уруксат берүү декапсуляцияланган ички сурамга автоматтык түрдө уруксат бербейт, ал эми ички уруксат сырткы туннелдин иштеп жатканы тууралуу эч нерсе айтпайт.

Абалы бар жана абалсыз чыпкалар жоопту ар башкача иштетет

Сурамдын чыкканын көргөн абалы бар firewall жоопту ошол агымга байлап, экинчи эрежесиз өткөрө алат. Абалсыз чыпкада мындай эс жок, ошондуктан кайтуу багытына өзүнүн ачык уруксаты керек, булак менен максат алмаштырылып.

Бир нерсе жазганга чейин продукт иш жүзүндө кайсы моделди колдонорун текшериңиз. Эхо сурамы үчүн эреже эхо жообун сөзсүз камтый бербейт, ал эми ICMP суроолорун көзөмөлдөгөн продукт башка интерфейске келген жоопторго башка саясат колдонушу мүмкүн.

Уруксат берген нерсеңердин чегин коюңуз. Кайсы жерден болбосун ар бир эхо жообуна уруксат берүү абалы бар байланышты бүтүрүү менен бирдей эмес, жана түр номери жөнөтүүчүнүн ким экенин далилдебейт.

Котормо идентификаторду да өзгөртөт

Эгер булак котормосу атайын болсо, алыскы учтагы кортеж кардар жөнөткөнгө дал келбейт. NAT ICMP суроосунун идентификаторун даректер менен кошо которо алат, ошондуктан эки тарапта бирдей номер көрүнүшү керек деп талап кылуу жалган дал келбестик жаратат.

Анын ордуна котормочу билдирген картага байланыш түзүңүз. Идентификаторду кайра жазган котормочу кардарыңыз жазган номерди сактабайт, ошондуктан картаны инсандык деп кабыл алыңыз, номерди эмес. Андан кийин бир тааныла турган сурамды жол бою көзөмөлдөңүз: анын күтүлгөн булак менен максатка жеткенин текшериңиз, максат жооп чыгарганын текшериңиз, ошол жооптун кайтуу маршрутун көзөмөлдөңүз, жана кардар аны алганын текшериңиз, шлюз эсептегичинин өсүшүн гана көрүп калбастан.

ICMP каталарын эхо саясатына кошуп жибербеңиз

Жолдун MTU аныктоосу колдонгон «фрагментация керек» билдирүүсү эхо жообу эмес, жана анын пайдалуу жүгү аны козгогон пакетти цитата кылат. Эхого гана уруксат берүү ошол каталарды үнсүз таштап, өлчөм көйгөйүн илинип турган байланышка айландырат, бул пайдалуулукка тескери.

Ошол эле этияттык дарек үй-бүлөлөрүнө да тиешелүү. ICMPv6 башка билдирүү түрлөрүн колдонуп, IPv4дө жок зарыл функцияларды алып жүрөт, ошондуктан бул номерлерди IPv6 эрежесине көчүрүү жөн эле ката.

Эхо алмашуусу иштегенде, чыныгы колдонмону өзүнчө текшериңиз. Ийгиликтүү ping бир протоколдун бир өлчөмдө бир максатка барып-кайтканын далилдейт, жана бул HTTPS, SMB же башка каалаган агымга уруксат бар деп божомолдоого лицензия эмес.