ICMP-Redirectiounen a VPN-Routen: wat sech wierklech ännert

E Floss, deen duerch den Tunnel soll, hëlt en aneren nächsten Hop, an een entdeckt eng ICMP-Redirectioun an engem Capture. Dat ass eng Hypothees, keng Diagnos. Eng Redirectioun ass eng Propose vum Router fir en besseren nächsten Hop, an ob den Host drop reagéiert, hänkt vun Astellungen of, déi pro Plattform, pro Interface an pro Adressfamill ënnerscheeden.

Eng Redirectioun ass eng Propose vum Router

IPv4-ICMP-Redirectioune hunn hirem eegene Message-Typ an eng schmuel Rei vun Hannergrënn: de Router schéckt e Paket aus deem Interface eraus, aus deem et ukomm ass, an hie kennt en nächsten Hop op deem selwechte Link, deen dem Ziel méi no ass. Duerno seet hien dem Sender, deen Hop direkt ze benotzen. D'Message nennt de neie Gateway a enthält en Deel vum Originalpaket, sou datt de Sender en engem Floss zouuerdne kann. Et ass eng héiflech Message iwwer déi lokal Topologie, an et geet dovun aus, datt de Sender mam virgeschloenen Gateway op engem Link ass.

Et steet dem Sender fräi, se z'ignoréieren. De Protokoll verlaangt net vun engem Host, seng Tabell z'änneren, an eng festgehalen Redirectioun beweise just, datt e Router eng geschéckt huet.

Op dësem Ënnerscheed gi sech déi meeschte Redirectiouns-Untersichungen.

IPv4 an IPv6 liwweren et ënnerschiddlech

IPv6 huet en analoge Mechanismus bannen der Noperentdeckung amplaz am ICMPv4, mat aneren Message-Formater an aneren Validéierungsregelen. D'Konzepter gläichen sech, d'Pakete net. E Capture-Filter, deen fir ICMP Typ 5 geschriwwe gouf, weist an engem IPv6-Netz näischt, wat heiansdo als Beweis gelies gëtt, datt keng Redirectioun geschitt ass.

D'Politik-Astellunge sinn och getrennt, sou datt en Host IPv4-Redirectioune kann akzeptéieren an IPv6-Redirectiounen ignoréieren, oder ëmgedréint.

Préift béid Famillen, wann de Floss, ëm deen et geet, béid ka benotzen.

Akzeptanz ass eng Host-Politik, keng Netz-Tatsaach

Op Linux gëtt d'Akzeptanz vu Redirectiounen pro Interface an global gesteiert, an d'Standardwäerter ënnerscheede sech tëscht Host- an Router-Roll. En Tunnel-Interface, deen Redirectiounen akzeptéiert, ass en ongewéinlecht Design, well et an engem Punkt-zu-Punkt-Tunnel keen sënnvollen alternativen nächsten Hop op deem selwechte Link gëtt. Dofir ass dës Astellung wäert, gelies ze ginn amplaz ugeholl ze ginn.

Sécher-Redirectiouns-Astellungen schränken zousätzlech an, wéi eng Gatewayen ee ka gleewen.

Wann Dir en Host méi streng maacht, sinn dat d'Astellungen, déi Dir iwwerpréift, an se sinn och de Grond, firwat zwee Maschinne am selwechten Netz verschidde kënne verhalen. Ännert se als Politik, net als Debugging-Ëmwee.

Wat eng Redirectioun net erkläre kann

Spezifesch Routen, Politik-Routing-Reegelen an lokal Interface erklären déi meescht onerwaart Weeër ouni eng Redirectioun. E méi spezifesche Prefix, eng Regel, déi op d'Quelladress passt, oder en zweeten Default an enger anerer Tabell iwwerschreift de Wee, den Dir erwaart hutt. Préift déi als éischt, well se bestëmmbar an ze gesi sinn.

Veralt Capture ass déi aner Fal: e Client, deen d'Netz gewiesselt huet, huet en aneren lokale Gateway.

Eng al Redirectioun aus der vireger Verbindung erkläert näischt iwwer dee momentane Wee, dofir notéiert, wéi en Interface de Kontrolltrafic elo kritt.

Préift d'Route, ier Dir den Tunnel beschëllegt

Frot de Kernel, wéi eng Route hie fir d'Zil géif benotzen, da vergläicht se mat der Tabell, déi Dir geduecht hat. Wann d'Äntwert mat der Tabell iwwereneestëmmt, huet keng Redirectioun eppes geännert an d'Untersuchung gehéiert soss anzwuersch. Wann se net iwwereneestëmmt, sicht no enger gecachter Redirectioun, enger Politik-Regel oder enger zweeter Tabell, ier Dir unhëllt, den Tunnel wier schold. D'Route-Lookup ass d'Wourecht, alles anescht ass eng Geschicht doriwwer, wéi et dozou komm ass.

Eng Redirectioun soll ni de Grond sinn, firwat e geschützte Wee roueg zu engem ongeschützte gëtt, dofir gehéiert d'Akzeptanzpolitik an d'Design-Review. RFC 792-Definitioun bleift d'Referenz dofir, wat d'IPv4-Message däerf soen.

Schreift de Route-Lookup an den Zäitstempel vum Capture zesummen op, dann kann déi nächst Persoun Är Conclusioun reproduzéieren.