Ping duerch eng VPN: firwat d’Regelen fir Echo-Antwerten den Zeréckwee verpassen

Pingt en Host duerch eng VPN an d’Ufro geet als een ICMP-Typ eraus an kënnt als en aneren zeréck, wat genuch ass fir all Regel ze verwierren, déi a Porten ausgedréckt ass. An engem Echo-Austausch gëtt et keen Zil-Déngschtport, deen een an d’Zeréckregel ka kopéieren, an e Filter, dee Symmetrie erwaart, verwerft d’Antwert, während d’Ufro ouni Hënnesch firduerch geet. D’Korrektur fänkt domat un, de Pak ze liesen wéi en tatsächlech ass, an duerno ze entscheeden, wéi eng Grenz um Wee d’Entscheedung trëfft. Normalerweis schaffen zwou Schichten, während déi drëtt d’Antwert stiiller verwerft. D’Abschnitter hei drënner trenne se an der Reiefolleg, an där e Pak hinnen entgéint kënnt.

De Pak ännert den Typ, net de Port

Eng Echo-Ufro ass ICMP-Typ 8, Code 0, an dréit en Identifiant an eng Sequenznummer. D’Antwert ass Typ 0, Code 0, mam selwechten Identifiant an der selwechter Sequenz, an d’IP-Endpunkte sinn emgetosch. RFC 792 definéiert dës Felder, an et ass den Identifiant, deen engem Sender erlaabt, Antwerten op seng eege Ufroe ze passen.

Wat feelt ass genee esou wichteg: et gëtt keen TCP- oder UDP-Header, also gët et kee Port fir ze erlaben. Eng Regel, déi e Port fir eng Echo-Antwert nennt, beschreift e Pak, deen et ni wäert ginn. Dat ass dee heefegste Feeler an de VPN-Ping-Ticketen. D’Regel gesäit spezifesch aus, gëllt fir näischt a léisst de Feeler genee do, wou en war.

Dräi Kontexter entscheeden iwwer de Pak

Wann de Ping en Host am wäiten LAN zilt, muss de Gateway d’Ufro weiderleeden. Wann en eng Adress zilt, déi zum Gateway selwer gehéiert, gëtt en an der lokaler Inputwee ofgeschloss. Wann de Gateway de Ping selwer ausléist, fänkt de Pak an sengem eigenen Outputwee un an duerchleeft d’Weiderleedungsentscheedung guer net.

Dës dräi Kontexter hunn ënnerschiddlech Regelketten an ënnerschiddlech Zähler, an se als ee ze behandelen ass de Grond, firwat „d’Firewall erlaabt ICMP“ nach ëmmer e gescheiterten Ping ka ginn. Den äusseren Tunnel ass e véierten Kontext: de VPN-Listener ze erlaben erlaabt net automatesch déi dekapuseléiert bannenzeg Ufro, an eng bannenzeg Erlaabnes seet näischt doruechter, ob den äusseren Tunnel steet.

Stateful a stateless Filter behandelen d’Antwert ënnerschiddlech

Eng stateful Firewall, déi d’Ufro huet erausgoen gesinn, kann d’Antwert deem Flow zouuerdnen an se ouni zweet Regel duerchloossen. E stateless Filter huet sou eng Gediechtnes net, dofir brauch d’Zeréckrichtung seng eege ausdrécklech Erlaabnes, mat Quell an Zil vertosch.

Kuckt no, wéi ee Modell d’Produkt tatsächlech ëmsetzt, ier Dir eppes schreift. Eng Regel fir Echo-Ufro deckt net onbedéngt d’Echo-Antwert of, an e Produkt, dat ICMP-Urfroen suivéiert, kann nach ëmmer eng aner Politik op Antwerten uwenden, déi op enger anerer Schnëttstell ukommen.

Begrenzt wat Dir erlaabt. All Echo-Antwert vun iwwerall z’erlaben ass net dat selwecht wéi eng stateful Associatioun fäerdeg ze maachen, an eng Typnummer authentifizéiert de Sender net.

D’Iwwersetzung ännert och den Identifiant

Wann d’Quelleniwwersetzung gewollt ass, passt den Tupel um wäiten Enn net deen, dee de Client geschéckt huet. Eng NAT kann den Identifiant vun der ICMP-Ufro zesumme mat den Adressen iwwersetzen, dofir bréngt et eng falsch Onstëmmegkeet, wann een drop insistéiert, datt déiselwecht Nummer op béide Säite muss erschéngen.

Korreléiert amplaz déi Mapping, déi den Iwwersetzer mellt. En Iwwersetzer, deen den Identifiant ëmschreift, behält d’Nummer net, déi Äre Client geloggt huet, dofir behandelt d’Mapping als Identitéit an net d’Nummer. Verfollegt duerno eng erkennbar Ufro iwwer de Wee: bestätegt, datt se mam erwaarten Urspronk um Zil ukommt, bestätegt, datt d’Zil eng Antwert erausginn huet, verfollegt d’Route vun där Antwert zeréck, a bestätegt, datt de Client se kritt huet, amplaz just ze kucken, wéi en Gateway-Zähler klëmmt.

Falt ICMP-Feeler net an d’Echo-Politik eran

D’Message „Fragmentéierung noutwendeg“, deen d’Wee-MTU-Entdeckung benotzt, ass keng Echo-Antwert, an hir Notzlaascht zitéiert de Pak, deen se ausgeléist huet. Eng Erlaabnes just fir Echo, déi dës Feeler stiiller verwërft, verwandelt e Gréissteproblem an eng hänken Verbindung, wat d’Géigendeel vum Nëtzlechen ass.

Déiselwecht Virsiicht gëllt fir Adressfamillen. ICMPv6 benotzt aner Message-Typen an dréit wesentlech Funktiounen, déi IPv4 net huet, dofir ass et einfach falsch, dës Nummeren an eng IPv6-Regel ze kopéieren.

Wann den Echo-Austausch funktionéiert, testt déi richteg Applikatioun separat. E gelungenen Ping beweist den Hin-an-Zeréck vun engem Protokoll an enger Gréisst op en Zil, an et ass keng Lizenz uzehuelen, datt HTTPS, SMB oder all anere Floss erlaabt ass.