Linux EHOSTUNREACH ar OpenVPN: kurš nākamais lēciens neizdevās?

EHOSTUNREACH ir tikpat bieži vietējs lēmums, cik attāls bojājums. Kodols var noraidīt paketi, jo maršruts saka, ka galamērķis nav sasniedzams, jo Ethernet nākamais lēciens nekad neatbildēja, vai jo no tālākas ceļa daļas ieradās ICMP host-unreachable ziņojums. Katrs avots dzīvo citā tabulā vai kešatmiņā, un katrs tiek labots citā vietā. Izlasiet izvēlēto maršrutu un nākamā lēciena stāvokli pirms šifru aizskaršanas vai tuneļa pārinstalēšanas.

Izvēlieties adresi un vārdu telpu, ko klients faktiski izmanto

Sāciet ar galamērķa un tīkla vārdu telpas fiksēšanu, kas radīja kļūdu. VPN klients var darboties savā vārdu telpā, un meklēšana no noklusējuma vārdu telpas konsultē citu maršrutēšanas tabulu ar citiem politikas noteikumiem.

Meklēšanai jāizmanto tāds pats avota, atzīmes un tabulas konteksts kā bojātajai lietotnei, citādi tā var atbildēt uz jautājumu, ko neviens neuzdeva. Ilustratīvam IPv4 partnerim tikai lasīšanas pārbaudes ir šādas:

ip -4 route get 198.51.100.25
ip -4 neigh show 198.51.100.1
ip -4 route show table all | grep -w unreachable

Rezultāts no administratīvas čaulas pierāda tikai to, ko šī čaula darītu. Ja klients iestata ugunsmūra atzīmi vai piesaistās VRF, atkārtojiet meklēšanu ar atbilstošo atzīmi vai VRF iekšienē, un salīdziniet izvēlēto maršrutu un nākamo lēcienu. Pirmā apstiprināmā adrese ir profila partnera adrese, nevis klasteris vai pakalpojums, ko lietotājs nosauc.

Skaidri nesasniedzams maršruts noraida paketi lokāli

unreachable tipa maršruts ir apzināta vietēja atbilde. Tas liek kodolam izmest paketi un atgriezt EHOSTUNREACH sūtītājam, tāpēc kļūda parādās acumirklī un bez jebkādas plūsmas, kas atstātu mašīnu. Kāds vai kāda automatizācija apzināti ievietoja šo maršrutu tur.

Maršrutu tipi nav aizstājami. Blackhole izmet paketi bez kļūdas sūtītājam, prohibit atgriež EACCES, un unreachable atgriež EHOSTUNREACH. Tāpēc VPN palīgs, kas atkārtotas savienošanas laikā instalē iztvēruma maršrutu, var radīt host-unreachable kļūdu uzplūdu, kas pazūd, tiklīdz tunelis paceļas, bet blackhole maršruts tā vietā radītu klusus noildzes.

Meklējiet tipu visās tabulās pirms vainot attālo galu. Noteikums, kas izvēlas tabulu, ir tikpat svarīgs kā maršruts tajā, un maršruts, kas pievienots galvenajai tabulai, nepalīdzēs klientam, kura politikas noteikums sūta tā plūsmu citur.

Miris kaimiņš rada to pašu kļūdu Ethernet tīklā

Kad izvēlētais maršruts izmanto saites vārteju, piegādei nepieciešama atrisināta saites slāņa adrese. Kodols sūta ARP vai IPv6 kaimiņa pieprasījumu, un, ja atbilde nenāk, paketi nevar ierāmēt. Tad sūtīšana neizdodas ar EHOSTUNREACH, lai gan pats maršruts ir derīgs.

Kaimiņu tabula nosauc posmu. INCOMPLETE nozīmē, ka atrisināšana vēl notiek, FAILED nozīmē, ka pēdējais mēģinājums nesaņēma atbildi, un REACHABLE vai STALE nozīmē, ka kodolam ir izmantojama adrese. VPN vārtejas FAILED ieraksts ir vietēja piegādes problēma, nevis pierādījums par tuneļa attālo pusi.

Lasiet ierakstu par faktisko nākamo lēcienu, nevis par attālo interneta adresi. Attāla adrese parasti tiek sasniegta caur maršrutētāju, tāpēc tai nebūs sava ARP ieraksta; tādu prasīt ir kategorijas kļūda, kas liek cilvēkiem meklēt trūkstošu ierakstu, kuram nekad nevajadzēja pastāvēt.

Attāli ziņojumi un asinhronas UDP kļūdas

EHOSTUNREACH var nākt arī no ārpuses. Maršrutētājs, kas nevar pārsūtīt paketi, var nosūtīt ICMP host unreachable, un kodols nodod šo ziņojumu ligzdai, kurai pieder plūsma. Šajā gadījumā maršruts un kaimiņš ir kārtībā, un bojājums pieder lēcienam aiz vietējā tīkla.

UDP padara attiecināšanu grūtāku. Kļūda, ko atgriež vēlāks sūtīšanas vai saņemšanas izsaukums, var attiekties uz agrāku datagrammu, tāpēc neizdevušā izsaukuma adrese un laiks var nesakrist ar paketi, kas izraisīja ziņojumu. Savienota UDP ligzda kļūdu saņem vienu reizi, un nesavienota ligzda to var nekad neredzēt.

Tāpēc laiks pieder pierādījumiem. Pierakstiet, kad kļūda parādījās, kuru partnera adresi ligzda izmantoja un vai tunelis tikko tika atkārtoti savienots. Uzplūdums uzreiz pēc maršruta maiņas norāda uz vietējo tabulu; viena kļūda dažas minūtes pēc stabilas plūsmas norāda uz ceļa ziņojumu.

Atdaliet slāņus pirms kriptogrāfijas maiņas

Trīs jautājumi klasificē kļūdu. Vai kodols izvēlējās maršrutu, kas noraida galamērķi? Vai tas izvēlējās derīgu maršrutu, bet nespēja atrisināt nākamo lēcienu? Vai ziņojums ieradās no aiz vietējā tīkla? Tikai trešais gadījums var iesaistīt tuneļa attālo galu, un arī tad tas neiesaista šifrēšanu.

Autentifikācijas un sarunu problēmas parādās kā savas kļūdas pēc tam, kad transports sasniedz partneri. Šifra maiņa vai klienta pārinstalēšana nevar salabot vietēju unreachable maršrutu, un tā iznīcina maršruta un kaimiņa pierādījumus, kas būtu nepieciešami īstajam cēlonim.

Pirms pirmās izmaiņas pierakstiet galamērķi, vārdu telpu, izvēlēto tabulu, nākamo lēcienu, kaimiņa stāvokli un kļūdas laiku. Pēc labojuma palaidiet to pašu meklēšanu vēlreiz; maršruts, kas tagad norāda uz tuneli, un kaimiņa ieraksts, kas tagad tiek atrisināts, ir spēcīgāks pierādījums nekā veiksmīgs ping uz nesaistītu adresi.