Linux EHOSTUNREACH mat OpenVPN: wéi en nächsten Hop ass gescheitert?

EHOSTUNREACH ass esou dacks eng lokal Entscheedung wéi e wäite Fehler. De Kernel kann e Paket refuséieren, well eng Route seet, datt d'Zil onerreechbar ass, well den nächsten Ethernet-Hop ni geäntwert huet, oder well en ICMP host-unreachable-Bericht vu weider virum Wee ukomm ass. All Quell lieft an enger anerer Tabell oder engem anere Cache, an all eenzel gëtt op enger anerer Plaz gefléckt. Liest déi gewielte Route an den Zoustand vum nächsten Hop, ier Dir Zifferen beréiert oder den Tunnel nei installéiert.

Wielt d'Adress an den Namespace, déi de Client tatsächlech benotzt

Fänkt domat un, d'Zil an den Netzwierk-Namespace festzeleeën, déi de Fehler produzéiert hunn. En VPN-Client kann a sengem eegene Namespace lafen, an eng Sich aus dem Standard-Namespace consultéiert eng aner Routingtabell mat aneren Policereegelen.

D'Sich muss dee selwechte Quell-, Mark- an Tabellkontext benotzen wéi déi fehlerhaft Applikatioun, soss äntwert se vläicht op eng Fro, déi kee gestallt huet. Fir e illustrativen IPv4-Peer sinn d'Nëmme-Lies-Kontrollen:

ip -4 route get 198.51.100.25
ip -4 neigh show 198.51.100.1
ip -4 route show table all | grep -w unreachable

En Resultat aus enger administrativer Shell beweist nëmmen, wat déi Shell géif maachen. Wann de Client eng Firewall-Mark setzt oder u VRF bënnt, widderhëlt d'Sich mat der passender Mark oder bannent der VRF, a vergläicht déi gewielte Route an den nächsten Hop. Déi éischt Adress, déi bestätegt muss ginn, ass d'Peer-Adress am Profil, net de Cluster oder de Service, deen de Benotzer nennt.

Eng explizit onerreechbar Route refuséiert d'Paket lokal

Eng Route vum Typ unreachable ass eng bewosst lokal Äntwert. Si seet dem Kernel, d'Paket ze verwerfen an EHOSTUNREACH un den Absender zeréckzeginn, dofir erschéngt de Fehler direkt an ouni Verkéier, deen d'Maschinn verléisst. Een, oder eng Automatisatioun, huet déi Route bewosst dohi gesat.

D'Routentypen sinn net austauschbar. Blackhole verwërft d'Paket ouni Fehler un den Absender, prohibit gëtt EACCES zeréck, an unreachable gëtt EHOSTUNREACH zeréck. En VPN-Helfer, deen beim Neiverbindung eng Sink-Route installéiert, kann dofir eng Breesch vun host-unreachable-Feeler produzéieren, déi verschwannen, soubal den Tunnel steet, während eng blackhole-Route amplaz stille Timeouts produzéiere géif.

Sicht den Typ an allen Tabellen, ier Dir d'wäit Enn beschëllegt. D'Reegel, déi d'Tabell auswielt, zielt esou vill wéi d'Route dobannen, an eng Route, déi an d'Haapttabell bäigefüügt gëtt, hëlleft engem Client net, deem seng Policereegel säi Verkéier soss wouhi schéckt.

En doudegen Noper produzéiert dee selwechte Fehler op Ethernet

Wann déi gewielte Route eng On-Link-Paart benotzt, brauch d'Liwwerung eng opgeléist Link-Layer-Adress. De Kernel schéckt eng ARP- oder IPv6-Nopersufro, an wann keng Äntwert kënnt, kann d'Paket net geframt ginn. D'Sendung schléift dann mat EHOSTUNREACH feel, och wann d'Route selwer gülteg ass.

D'Nopertabell nennt d'Etapp. INCOMPLETE heescht, datt eng Opléisung nach leeft, FAILED heescht, datt de leschten Versuch keng Äntwert krut, an REACHABLE oder STALE heescht, datt de Kernel eng brauchbar Adress huet. En FAILED-Andrag fir de VPN-Paart ass e lokale Liwwerungsproblem, keen Beweis iwwer déi wäit Säit vum Tunnel.

Liest den Andrag fir den tatsächlechen nächsten Hop, net fir déi wäit Internetadress. Eng wäit Adress gëtt normalerweis iwwer e Router erreecht, also huet se keen eegenen ARP-Andrag; ee ze froen ass e Kategorieffehler, dee Leit no engem fehlenden Andrag siche schéckt, deen ni sollt existéiert hunn.

Wäit Berichter an asynchron UDP-Feeler

EHOSTUNREACH kann och vun dobausse kommen. E Router, deen d'Paket net ka weiderleeden, kann ICMP host unreachable schécken, an de Kernel gëtt dee Bericht un de Socket weider, deen de Floss huet. An deem Fall sinn d'Route an den Noper an der Rei, an de Fehler gehéiert zu engem Hop hannert dem lokalen Netz.

UDP mécht d'Zouschreiwung méi schwéier. E Fehler, deen en späteren Send- oder Empfanksopruff zeréckgëtt, kann sech op en fréieren Datagramm bezéien, sou datt d'Adress an d'Zäit vum fehlerhaften Opruff vläicht net zum Paket passen, dat de Bericht ausgeléist huet. En verbonnenen UDP-Socket kritt de Fehler eemol, an en net verbonnenen Socket gesäit en vläicht ni.

Dofir gehéiert d'Timing zu de Beweiser. Notéiert, wéini de Fehler erschéngt ass, wéi eng Peer-Adress de Socket benotzt huet, an ob den Tunnel just nei verbonnen huet. Eng Breesch direkt no enger Routenännerung weist op déi lokal Tabell; een eenzelen Fehler Minuten no engem stabile Floss weist op e Weebericht.

Trennt d'Schichten, ier Dir Krypto ännert

Dräi Froen klasséieren de Fehler. Huet de Kernel eng Route gewielt, déi d'Zil refuséiert? Huet hien eng gülteg Route gewielt, awer konnt den nächsten Hop net opléisen? Oder ass e Bericht vun hannert dem lokalen Netz ukomm? Nëmmen den drëtte Fall ka dat wäit Enn vum Tunnel betreffen, an och dann net d'Verschlüsselung.

Problemer mat Authentifikatioun an Verhandlungen erschéngen als hir eege Feeler, nodeems den Transport de Peer erreecht huet. Eng Ziffer ze änneren oder de Client nei z'installéieren kann eng lokal unreachable-Route net flécken, an et zerstéiert d'Route- an Noperbeweiser, déi Dir fir déi richteg Ursaach gebraucht hätt.

Notéiert d'Zil, den Namespace, déi gewielte Tabell, den nächsten Hop, den Noperzoustand an d'Feelerzäit virun der éischter Ännerung. Féiert déiselwecht Sich no der Korrektur nach eng Kéier aus; eng Route, déi elo op den Tunnel weist, an en Noperandrag, deen elo opgeléist gëtt, si méi staark Beweiser wéi e gelungenen Ping op eng onbedriwwen Adress.