Эмне үчүн traceroute VPN туннелинде бир багытта өлөт

Бир багытта бүтүп, экинчисинде жылдызчалардын саптарын баскан traceroute чыгарылышы асимметриялуу өткөрүүгө окшош, бирок адатта андай эмес. Ар бир көрсөтүлгөн секирик зонддун жетишин, маршрутизатордун жооп берүүгө чечим кабыл алышын жана жооптун кайтып келип зонд менен дал келишин талап кылат. Бул байланыштардын кайсынысын болсо да үзсөңүз, туннель маалыматты ташууну улантканда сап жылдызчага айланат.

Из транспорт жөнүндө далил болоорун алдында диагностика жөнүндө далил. Суроого татыктуу суроо — үч байланыштын кайсынысы ийгиликсиз болду, жана жооп чыгарылыштын формасынан эмес, пакеттерден келет.

Жылдызча — жетпеген жооп, жетпеген секирик эмес

traceroute ар бир айлампада TTL бир маршрутизатор алысыраак бүткөн зонддорду жиберүү менен сыртка жылат. Мөөнөтү бүткөн зондду ыргыткан маршрутизатор өзүн атаган ICMP Time Exceeded билдирүүсүн кайтарышы керек, жана курал ошол атты басат. Курал чындыгында ошол билдирүүнүн убакыт чегинде келишин күтөт. Эгер маршрутизатор башка булак дарегинен жооп берсе, каталарды жаратуу жыштыгын чектесе же зондду сөзсүз ыргытса, айлампа басууга эч нерсе бербейт.

Бул натыйжалардын эч бири алдыга жүрүүчү жолдун бузулганын айтпайт. Жылдызча жоопсуз кат жөнүндө отчет, бош жол жөнүндө эмес.

Зонд ыкмасы кайсы чыпкага туш болоруңузду аныктайт

Linux боюнча демейки ыкма адатта жогорку номурлуу UDP барар порт, Windows tracert ICMP жаңыртыгын жиберет, ал эми Linuxке анын ордуна ICMP же TCP колдонууну буйруса болот. Алардын ар бири абалы бар файрволго же булуттук коопсуздук тобуна трафиктин башка түрү болуп көрүнөт. Бир тараптан UDP изин экинчи тараптан ICMP изи менен салыштыруу эки башка экспериментти салыштырат. Натыйжаларды айырмачылык деп атоодон мурун ыкманы, даректер үй-бүлөсүн, булак дарегин жана убакыт чегин бекитиңиз.

Адилет салыштыруу үчүн изди трафикти чындап ташыган хосттордон иштетиңиз, алардын атынан өткөргөн шлюзден эмес. Маршрутизатор жараткан из анын өз булак дарегин жана чыгуу саясатын колдонот, алар кардар көргөн нерседен катуураак болушу мүмкүн. Так буйрукту жазып коюңуз, кийинки адам аны кайталай алсын.

Убакыт чектин мааниси эксперименттин экинчи жарымы, жана аны жазуулардан түшүрүп коюу оңой. Тыгын жолдо эки секунд күтүү жылдызчаларды билдирет, беш секунд күтүү секириктерди билдирет. Бардык иштетүүлөрдө маанини бирдей кармаңыз, салыштыруу тармак жөнүндө бойдон калсын.

Кайтуу жолу — өзүнчө маршрут

ICMP катасы өз булагы жана барар жери бар кадимки пакет, жана ага трейсерге кайтуучу жол керек. Эгер туннель саясаты LAN префикстерин ташыса, бирок катаны жараткан маршрутизатордун дарегин ташыбаса, билдирүү сизге жете албаган жол менен чыгат. Жоопторду чыпкалоо аны маршрут бар болгондо да ыргытышы мүмкүн, анткени пакет күтүлбөгөн интерфейстеги күтүлбөгөн даректен келет. Бул колдонмо бузулушу эмес, диагностика тегиздигиндеги шайкешсиздик.

Из бүткөнгө чейин ар бир тандоону кеңейтүү сүрөттү сулуу, саясатты начар кылат. Белгилүү диагностикалык даректи оңдоңуз, же жылдызчаны кабыл алып, колдонмону башка жол менен текшериңиз.

Туннелди реалдуу суроо менен ырастаңыз

Тейлөөнүн өз портундагы TCP кол алышуусу маанилүү багытта өткөрүүнү, кайтуу маршруттоону жана чыпкалоону текшерет. Төмөнкү буйруктар эки четинде тең иштейт жана ар тарап эмнени ача аларын салыштырат. Тейлөө портун жана туннель интерфейсинин атын өз конфигурацияңыздан алмаштырыңыз.

traceroute -I -n -w 2 203.0.113.40
traceroute -T -p 443 -n -w 2 203.0.113.40
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' --max-time 5 http://203.0.113.40:8080/health
ss -tan state established

Алгач traceroute'тун эки иштетүүсүн окуңуз: ICMP иштетүүсү секириктерди көрсөтсө, TCP иштетүүсү көрсөтпөсө, айырма ыкмада, жолдо эмес. Анан curl натыйжасын колдонмо деңгээлиндеги жооп катары алыңыз, анткени акылга сыярлык статус код менен бүткөн алмашуу алдыга жана кайтуу жолдорунун экөө тең реалдуу трафик үчүн иштешин билдирет. Сокеттердин тизмеси байланыштын жалпы орнотулганын көрсөтөт, муну эч бир из айта албайт.

Эки багытта интерактивдүү сессияны ташып, бир traceroute жылдызчаларды баскан туннель соо жана жөн гана фотосүрөткө жараксыз. Ар тараптын буйрук чыгарылышын жазуу катары сактаңыз, ал эми жетпеген секириктерди VPN жөнүндө өкүм эмес, диагностика жөнүндө ачык суроо деп караңыз.