Firwat traceroute an enger Richtung duerch en VPN-Tunnel stierft

Traceroute-Ausgab, déi an enger Richtung fäerdeg gëtt an an der anerer Reihen vu Stärchen dréckt, gesäit wéi asymmetresch Viruleedung aus, an ass et meeschtens net. All gewisenen Hop brauch, datt d'Sond ukommt, datt en Router sech entscheet ze äntweren an datt d'Äntwert zréckkënnt an der Sond zougeuerdnet gëtt. Brécht ee vun dëse Glieder an d'Rei gëtt en Stärchen, wärend den Tunnel weider Donnéeë dréit.

Den Trace ass e Beweis iwwer d'Diagnos, ier en e Beweis iwwer den Transport ass. D'Fro, déi et wäert ass ze stellen, ass wéi ee vun den dräi Glieder versot huet, an d'Äntwert kënnt aus de Paketen, net aus der Form vun der Ausgab.

En Stärchen ass eng fehlend Äntwert, net en fehlenden Hop

Traceroute geet no bausse mat Sonden, deenen hir TTL an all Ronn ee Router méi wäit ofleeft. En Router, deen eng ofgelafe Sond verwëft, soll eng ICMP Time Exceeded-Noriicht zeréckschécken, déi sech selwer nennt, an d'Instrument dréckt deen Numm. Wat d'Instrument tatsächlech waart, ass datt déi Noriicht bannent engem Timeout ukommt. Wann de Router vun enger anerer Quelladress äntwert, d'Frequenz vun de Feeler limitéiert oder d'Sond ouni Wuert verwëft, bréngt d'Ronn näischt Dréckbares.

Keen vun dësen Resultater seet, datt de Wee no vir kaputt ass. En Stärchen ass e Rapport iwwer onbeäntwert Post, net iwwer eng eidel Strooss.

D'Sondmethod entscheet, wéi ee Filter dir begéint

D'Standardmethod op Linux ass meeschtens en UDP-Zilport mat enger héijer Nummer, tracert op Windows schéckt ICMP-Echoen, an Linux kann een soen, amplaz ICMP oder TCP ze benotzen. Jiddwereen dovunner gesäit fir eng stateful Firewall oder eng Cloud-Sécherheetsgrupp wéi eng aner Zort Trafik aus. Eng UDP-Trace vun enger Säit mat enger ICMP-Trace vun der anerer ze vergläichen, vergläicht zwee verschidden Experimenter. Fixéiert d'Method, d'Adressfamill, d'Quelladress an den Timeout, ier dir d'Resultater en Ënnerscheed nennt.

Fir e faire Verglach lauschtert den Trace op deenen Hosten, déi den Trafik tatsächlech droen, an net op engem Gateway, deen a hirem Numm viruleet. En Router-generéierten Trace benotzt dem Router seng eege Quelladress an Ausgangspolitik, déi méi streng kënne sinn wéi alles, wat e Client gesäit. Schreift déi genee Kommando op, sou datt déi nächst Persoun se ka widderhuelen.

Den Timeoutwäert ass déi aner Hallschent vum Experiment, an et ass einfach, en aus den Notizen ze loossen. Eng Waard vun zwou Sekonnen op engem iwwerlaaschte Wee mëllt Stärchen, wou eng Waard vu fënnef Sekonnen Hops mëllt. Halt de Wäert iwwer all Lafen identesch, sou datt de Verglach iwwer d'Netzwierk bleift.

De Retourwee ass eng eege Route

En ICMP-Feeler ass e gewéinleche Pak mat senger eegener Quell an Destinatioun, an en brauch eng Route zréck op den Tracer. Wann d'Tunnelpolitik d'LAN-Prefixe dréit awer net d'Routeradress, déi de Feeler generéiert huet, verléisst d'Noriicht en Wee, deen dech net ka erreechen. D'Äntwertfilterung kann se verwëften och wann d'Route existéiert, well de Pak vun enger onerwaarter Adress op engem onerwaarte Interface ukommt. Dat ass eng Onstëmmegkeet an der Diagnosfläch an net en Ausfall vun der Applikatioun.

All Selektiounswäert esou breet maachen, bis den Trace fäerdeg ass, mécht d'Bild méi schéin an d'Politik méi schlecht. Reparéiert déi spezifesch Diagnosadress, oder akzeptéiert den Stärchen a test d'Applikatioun op eng aner Manéier.

Bestätegt den Tunnel mat enger richtege Ufro

En TCP-Handshake um Service sengem eegene Port üübt d'Viruleedung, d'Retourrouting an d'Filterung an der Richtung, déi zielt. D'Kommandos hei drënner lafen op béide Säiten an vergläichen, wat all Säit ka opmaachen. Ersetzt de Serviceport an den Numm vum Tunnelinterface duerch déi aus Ärer eegener Konfiguratioun.

traceroute -I -n -w 2 203.0.113.40
traceroute -T -p 443 -n -w 2 203.0.113.40
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' --max-time 5 http://203.0.113.40:8080/health
ss -tan state established

Liest fir d'éischt déi zwee traceroute-Lafen: wann den ICMP-Laf Hops weist an den TCP-Laf net, ass den Ënnerscheed Method, net Wee. Duerno hëlt den curl-Resultat als Äntwert op Applikatiounsniveau, well en ofgeschlossenen Austausch mat engem sënnvolle Statuscode bedeit, datt de Wee no vir an de Retourwee allebéid fir richtegen Trafik funktionéieren. D'Socketlëscht weist, ob d'Verbindung iwwerhaapt opgebaut ass, wat keen Trace dech ka soen.

En Tunnel, deen eng interaktiv Sessioun a béide Richtunge dréit, wärend een traceroute Stärchen dréckt, ass gesond a just net fotogen. Halt d'Kommandoausgab vun all Säit als Opzeechnung, a behandelt fehlend Hops als eng oppe Fro iwwer d'Diagnos an net als Uerteel iwwer de VPN.