Għaliex l-imblukkar tal-ICMP kollu jkisser mogħdija VPN li taħdem
Il-messaġġi ta' feedback dwar id-daqs mhumiex tweġibiet ping. Meta qatt ma jaslu, il-pakketti żgħar jgħaddu, dawk kbar jisparixxu, u t-tunnel jidher qisu qed joxxilla.
Tunnel li jgħaddi mill-awtentikazzjoni, iġorr ping u mbagħad jeħel fl-ewwel trasferiment kbir huwa s-sinjal klassiku ta' messaġġ ICMP nieqes u mhux ta' VPN miksur. Min jibgħat qatt ma jsir jaf li l-pakkett kien kbir wisq, jibqa' jipprova l-istess daqs, u l-applikazzjoni tistenna. Li tissewwa din hija deċiżjoni tal-politika tal-firewall, mhux installazzjoni mill-ġdid tal-klijent. L-ordni hija importanti: kejjel fejn tinsab il-limitu tad-daqs, imbagħad dejjaq ir-regola li belgħet ir-rapport.
X'inhu li ICMP fil-fatt iġorr fuq din il-mogħdija
Skoperta tal-MTU tal-mogħdija IPv4 tiddependi fuq router li jirrapporta li pakkett bil-bit don't-fragment ma setax jgħaddi. Dak ir-rapport huwa messaġġ ICMP Fragmentation Needed, u mingħajru min jibgħat m'għandu l-ebda raġuni jnaqqas id-daqs tas-segment tiegħu. IPv6 huwa aktar strett: ir-router ma jqassmux fit-transitu, għalhekk messaġġ ICMPv6 Packet Too Big huwa l-uniku sinjal li jġiegħel lil min jibgħat jiċkien.
Iż-żewġ messaġġi huma feedback tal-pjan ta' kontroll, u l-ebda wieħed mhu eku dijanjostiku. Politika li timblokka ping u politika li timblokka l-ICMP kollu jidhru simili f'lista ta' regoli iżda jġibu ruħhom b'mod differenti ħafna fuq in-netwerk. It-tieni tista' tbiddel tunnel b'daqs korrett f'mogħdija f'direzzjoni waħda għal kull ħaġa akbar mill-iżgħar ħolqa fil-katina.
Xi trasporti jimplimentaw l-iskoperta tagħhom stess b'pakketti ta' sonda, kif jiddeskrivi RFC 4821, u dawn jiddependu inqas minn dan il-feedback. Dan huwa argument biex tiċċekkja liema trasport qed tħaddem, mhux biex tassumi li kull tunnel huwa immuni.
| Messaġġ | Skop fuq il-mogħdija | Jekk imblukkat |
|---|---|---|
| ICMPv4 tip 3 kodiċi 4 | Il-pakkett kien kbir wisq għall-ħolqa li jmiss | Min jibgħat jibqa' jipprova u jeħel |
| ICMPv6 tip 2 | Packet Too Big, l-ekwivalenti IPv6 | L-istess waqfien, mingħajr alternattiva ta' tqassim |
| ICMP tip 11 | Ħin skada, jintuża minn traceroute | Id-dijanjostika titlef hops, it-traffiku xorta jiċċirkola |
| Talba u tweġiba tal-eku ICMP | Test ta' aċċessibbiltà | Ping ifalli, il-mogħdija tista' tkun tajba |
Il-falliment jiddependi mid-daqs
Staqsi jekk il-falliment huwiex korrelatat mad-daqs tal-pakkett. Paġna tal-login, mistoqsija DNS u sejħa API qasira jirnexxu, filwaqt li upload ta' fajl, tweġiba kbira jew download ta' immaġni jeħlu. Dan ix-xejra tindika limitu tad-daqs f'xi mkien bejn iż-żewġ trufijiet, mhux l-awtentikazzjoni jew ir-routing. Ping żgħir li jirnexxi kważi ma jgħid xejn dwar fejn jinsab dak il-limitu.
Ġewwa tunnel hemm żewġ saffi li għandhom jiġu kkunsidrati: il-pakkett tal-payload u l-pakkett ta' barra inkapsulat. Min jibgħat intern jista' jġib ruħu b'mod korrett waqt li l-mogħdija ta' barra hija iżgħar minn dak li jassumi t-tunnel, u għalhekk kemm it-twaħħil tal-MTU tat-tunnel stess kif ukoll il-ħolqa fiżika taħtu huma importanti.
Kejjel qabel ma timmodifika r-regoli
Ipprova bil-bit don't-fragment u b'daqs tal-payload li tagħżel int, mill-klijent li qed ifalli lejn indirizz protett:
ping -M do -s 1472 10.20.5.7
ping -M do -s 1300 10.20.5.7Payload ta' 1472 byte flimkien ma' 28 byte ta' headers huwa pakkett ta' 1500 byte. Jekk is-sonda l-kbira tfalli bi żball ta' tqassim u dik iżgħar tgħaddi, sibt il-limitu; aġġusta għall-ispiża żejda tat-tunnel u erġa' għamel sakemm id-daqs li jaħdem ikun stabbli.
Imbagħad ikkonferma li l-vojt huwa r-rapport innifsu. Jekk is-sonda tfalli fis-skiet, mingħajr żball u mingħajr tweġiba, il-messaġġ x'aktarx qed jiġi skartat minflok ikkunsinnat, u r-regola hija s-suspettata.
Dejjaq ir-regola, imbagħad erġa' ttestja l-kompitu
Il-korrezzjoni għandha tippermetti l-messaġġi ta' kontroll speċifiċi, mhux il-protokoll kollu. Fuq host iptables il-forma hija aċċettazzjoni speċifika għat-tip; addatta s-sintassi għal dak li jamministra l-firewall fuq il-pjattaforma tiegħek:
iptables -I INPUT -p icmp --icmp-type fragmentation-needed -j ACCEPT
ip6tables -I INPUT -p icmpv6 --icmpv6-type packet-too-big -j ACCEPTĦalli t-tweġibiet tal-eku mblukkati jekk din hija l-politika lokali, għax il-mogħdija m'għandhiex bżonnhom. Imbagħad erġa' ttestja t-trasferiment li falla oriġinarjament, minn konnessjoni ġdida, u kkonferma li l-counters tar-regola juru l-messaġġi jaslu.
Jekk it-trasferiment kbir għadu jeħel wara li l-messaġġi jkunu permessi, il-limitu li jifdal jinsab x'imkien ieħor: MTU tat-tunnel stabbilit għoli wisq, proxy li jerġa' jikteb il-pakketti, jew kaxxa intermedja li tiskarta minflok tirrapporta. Ir-regola tal-ICMP kienet meħtieġa, mhux biżżejjed.