SSM iwwer OpenVPN: eng Quell an eng Grupp vun Ufank bis Enn verfollegen

Wielt een Stream an een Empfänger a verfollegt dunn dës Koppel duerch all Hop, amplaz Multicast als Kategorie ze testen. En quellespezifeschen Design versot genee op enger vu véier Plazen: den Empfänger ass ni bäigetrueden, den Router huet de Paket op sengem Réckwee verworf, de Kernel huet keen Zoustand, oder den Tunnel huet ni eng Kopie geliwwert. An där Reihenfolg ze schaffen kascht Minutten pro Hop a seet Iech, wat fir eng vun de véier Dir tatsächlech hutt.

Festigt als éischt d’Quell, d’Grupp an den Empfänger

Schreift dräi Wäerter op, ier Dir en Apparat beréiert: d’Quelladress déi schéckt, d’Gruppadress an déi den Empfänger bäitriede wäert, an d’Subnetz wou den Empfänger läit. Fir en illustrative IPv4-Stream sinn eng Quell vun 10.50.0.10 an eng Grupp vun 232.20.30.40 genee déi Aart Koppel, déi zu engem quellespezifeschen Design passt. Alles wat méi vag ass wéi dës dräi Wäerter kann net getest ginn.

Den Beräich 232/8 ass fir quellespezifesche Multicast reservéiert, an de Modell ass beschriwwen an RFC 4607. Wann Är Grupp baussenhalb vun deem Beräich läit, wärend Dir mengt SSM ze bedreiwen, stoppt a bestätegt wat den Deploiement tatsächlech wëll, well de Bäitrëtt vum Empfänger an d’Weiderleedungsentscheedung vum Router hänken allebéid dovun of, datt de Modell konsequent ass.

Kontrolléiert datt den Empfänger an d’Quell bäigetrueden ass

E Memberschaftsrapport just fir d’Grupp ass keen quellespezifesche Bäitrëtt. Frot den Empfänger wéi eng Quell hien ugefrot huet, a kuckt um Router vum éischten Hop den Zoustand vun der Grupp fir ze gesinn ob eng Quelllëscht erschéngt. Wann de Rapport keng Quell dréit, wäert den Router en als Bäitrëtt vun enger beliebiger Quell behandelen an den ganzen Design degradéiert stëll zu eppes, wat Dir net geplangt hutt.

Op engem Linux-Empfänger kontrolléiert wourop de Socket sech tatsächlech abonnéiert huet a wat de Kernel festgehalen huet. D’Konfiguratiounsdatei vun der Applikatioun ass kee Beweis; d’Memberschaftstabell ass een. Liest se wärend den Empfänger tatsächlech leeft, well en Entrée ka kuerz bleiwen nodeems de Prozess, deen en ugeluecht huet, eraus ass. En ale Entrée vun engem fréieren Test ass eng zouverlässeg Quell vu falsche Selbstvertrauen.

ip maddr show dev eth0
cat /proc/net/igmp | sed -n '1,40p'

Wann den Bäitrëtt mat der erwaarter Quell do ass, gitt op d’Routeren. Wann en feelt, hëlleft keng Tunnelkonfiguratioun, well et gëtt näischt weiderzeleeden.

Verifizéiert de Réckwee, éier Dir op den Tunnel kuckt

Multicast-Routing mécht eng Réckwee-Préifung, an e Paket deen op engem aneren Interface ukomm wéi deem, op deen d’Unicast-Route weist, gëtt verworf. Dat ass dee heefegste Grond firwat e Stream, dee kloer geschéckt gëtt, ni den nächsten Hop erreecht, an et entsteet guer keen nëtzlechen Fehler op Applikatiounsniveau.

Vergläicht um Router dee Richtung Quell kuckt d’Route Richtung Quell mam Interface wou d’Paketen tatsächlech ukommen. Maacht um Router dee Richtung Empfänger kuckt dat selwecht fir d’Empfänger seng eege Subnetz a bestätegt datt d’Lëscht vun den Ausgangsinterfacen de Link dohinner enthält. Eng Ongereimtheet an enger Richtung ass en RPF-Fehler, keen Memberschaftsfehler.

Bestätegt duerno datt d’TTL vun der Quell grouss genuch ass fir déi gerouteten Hops z’iwwerliewen, déi Dir designéiert hutt. E Stream deen um éischten Router funktionéiert an um zweete stierft ass dacks eng TTL-Fro an net eng Politik-Fro.

Liest de Multicast-Zoustand vum Kernel amplaz d’Konfiguratioun

D’Konfiguratioun seet Iech wat Dir ugefrot hutt; de Kernel seet Iech wat geschitt. Liest op all Linux-Hop d’Multicast-Routing-Entréen a bestätegt datt fir déi genau Koppel aus Quell a Grupp eng Lëscht vun an- an ausgängigen Interfacen existéiert. En Entrée fir d’Grupp mat enger Platzhalterquell ass en aneren Objet, an en erkläert kee quellespezifesche Floss.

ip mroute show from 10.50.0.10 iif eth1
ip route get 10.50.0.10

Routing-Daemone behalen hir eegen Vue iwwer deem Zoustand, an de Kommando deen en ausgëtt hänkt dovun of wéi eng Implementatioun installéiert ass. D’Prinzip ass konstant: frot den Daemon no sengem Upstream-Entrée fir d’Koppel, a frot duerno de Kernel ob en Entrée fir d’Weiderleedung existéiert. En Daemon deen mengt e leet weider, wärend de Kernel keen Entrée huet, ass en Konfiguratiounsscope-Problem op deem Host.

Wann déi zwee sech net eens sinn, reparéiert den Host an net de VPN. Naischt floss of kann e Hop kompenséieren, deen de Floss net weiderleet, no deem Dir gefrot hutt. Schreift d’Koppel, den an- an den ausgehenden Interface-Lëscht fir all Hop op, wärend de Stream funktionéiert. Dee Rekord mécht de nächste Fehler zu engem Verglach amplaz enger neier Enquête.

Entscheet wéi den Tunnel tatsächlech replizéiert

Hei hält Multicast iwwer en VPN op, Routine ze sinn. En Punkt-zu-Punkt-Tunnel liwwert e Paket un deen eenzegen Peer um aneren Enn, also erreecht eng Kopie genee ee Client. En iwwerbréckte Segment behuelt sech méi wéi en gedeelte Link, well den Tunnel de Frame dréit an d’Bréck entscheet wat iwwerschwemmt gëtt. Dat si verschidde Liwwermodeller, an en Design deen den zweeten unhëlt wärend en den éischten ausféiert wäert fir een Empfänger schéngen ze funktionéieren an fir den nächsten versoen.

Fir méi wéi een Empfänger iwwer e Multipoint-Server muss d’Replikatioun explizit designéiert ginn. Eng Multicast-Route um Gateway z’installéieren léiert dem VPN-Server net wéi eng Peers eng Kopie solle kréien, an keng Route op der Client-Säit hëlt déi Entscheedung fir hien. Wou d’Ufuerderung vill Empfänger ass, benotzt ënnerstëtzt Replikatioun oder eng bewosst gewielten Alternativ, a schreift op wat fir eng Dir gewielt hutt.

Schliisslech verifizéiert beim Empfänger ënner enger enker Observatioun: déi genau Quell, Grupp a Port, um Interface deen Dir erwaart, wärend een autoriséierten Empfänger bäigetrueden ass. SSM wielt e Sender, an d’Auswiel ass weder eng Authentifikatioun vun deem Sender nach eng Erlaabnes fir aneren Multicast-Traffic déiselwecht Politik ze duerchqueren.