Linux EHOSTUNREACH ma' OpenVPN: liema qabża li jmiss falliet?

EHOSTUNREACH hija deċiżjoni lokali spiss daqs falliment imbiegħed. Il-qalba tista' tirrifjuta pakkett għax rotta tgħid li d-destinazzjoni mhijiex tista' tintlaħaq, għax il-qabża li jmiss tal-Ethernet qatt ma wieġbet, jew għax wasal rapport ICMP host-unreachable minn aktar 'il bogħod tul it-triq. Kull sors jgħix f'tabella jew cache differenti, u kull wieħed jiġi msewwi f'post differenti. Aqra r-rotta magħżula u l-qagħda tal-qabża li jmiss qabel ma tmiss sifri jew terġa' tinstalla t-tunnel.

Agħżel l-indirizz u n-namespace li l-klijent juża tabilħaqq

Ibda billi tiffissa d-destinazzjoni u n-namespace tan-netwerk li pproduċew l-iżball. Klijent VPN jista' jaħdem fin-namespace tiegħu stess, u tfittxija min-namespace awtomatiku tikkonsulta tabella oħra ta' routing b'regoli tal-politika differenti.

It-tfittxija trid tuża l-istess kuntest ta' sors, marka u tabella bħall-applikazzjoni li qed tfalli, inkella tista' twieġeb mistoqsija li ħadd ma għamel. Għal pari IPv4 illustrattiv, il-kontrolli ta' qari biss huma:

ip -4 route get 198.51.100.25
ip -4 neigh show 198.51.100.1
ip -4 route show table all | grep -w unreachable

Riżultat minn shell amministrattiva jipprova biss x'kienet tagħmel dik is-shell. Jekk il-klijent jistabbilixxi marka tal-firewall jew jingħaqad ma' VRF, erġa' agħmel it-tfittxija bil-marka li taqbel jew ġewwa l-VRF, u qabbel ir-rotta magħżula u l-qabża li jmiss. L-ewwel indirizz li għandu jiġi kkonfermat huwa l-indirizz tal-pari fil-profil, mhux il-cluster jew is-servizz li jsemmi l-utent.

Rotta espliċita li ma tintlaħaqx tirrifjuta l-pakkett lokalment

Rotta tat-tip unreachable hija tweġiba lokali intenzjonata. Tgħid lill-qalba biex tarmi l-pakkett u tirritorna EHOSTUNREACH lill-mittent, u għalhekk l-iżball jidher minnufih u mingħajr ebda traffiku li jħalli l-magna. Xi ħadd, jew xi awtomatizzazzjoni, poġġa dik ir-rotta hemm apposta.

It-tipi ta' rotot mhumiex interkambjabbli. Blackhole tarmi l-pakkett mingħajr żball lill-mittent, prohibit tirritorna EACCES, u unreachable tirritorna EHOSTUNREACH. Għalhekk assistent VPN li jinstalla rotta sink waqt ir-rikonnessjoni jista' jipproduċi żbroff ta' żbalji host-unreachable li jisparixxu malli t-tunnel jogħla, filwaqt li rotta blackhole minflok tipproduċi timeout siekta.

Fittex it-tip fit-tabelli kollha qabel ma tagħti l-ħtija lit-tarf imbiegħed. Ir-regola li tagħżel it-tabella timporta daqs ir-rotta fiha, u rotta miżjuda mat-tabella prinċipali mhijiex se tgħin klijent li r-regola tal-politika tiegħu tibgħat it-traffiku tiegħu x'imkien ieħor.

Ġar mejjet jipproduċi l-istess żball fuq l-Ethernet

Meta r-rotta magħżula tuża gateway on-link, il-kunsinna teħtieġ indirizz tas-saff tal-konnessjoni riżolt. Il-qalba tibgħat talba għal ġar ARP jew IPv6, u jekk ma tasal ebda tweġiba l-pakkett ma jistax jiġi inkwadrat. Imbagħad l-ibgħat ifalli b'EHOSTUNREACH għalkemm ir-rotta nnifisha hija valida.

It-tabella tal-ġirien issemmi l-fażi. INCOMPLETE tfisser li riżoluzzjoni għadha għaddejja, FAILED tfisser li l-aħħar tentattiv ma kiseb ebda tweġiba, u REACHABLE jew STALE tfisser li l-qalba għandha indirizz użabbli. Entrata FAILED għall-gateway VPN hija problema ta' kunsinna lokali, mhux prova dwar in-naħa mbiegħda tat-tunnel.

Aqra l-entrata għall-qabża li jmiss attwali, mhux għall-indirizz tal-internet imbiegħed. Indirizz imbiegħed normalment jintlaħaq permezz ta' router, għalhekk mhux se jkollu rekord ARP tiegħu stess; li titlob wieħed hija żball ta' kategorija li tibgħat lin-nies ifittxu entrata nieqsa li qatt ma kellha teżisti.

Rapporti mbiegħda u żbalji UDP asinkroniċi

EHOSTUNREACH jista' jiġi wkoll minn barra. Router li ma jistax jgħaddi l-pakkett 'il quddiem jista' jibgħat ICMP host unreachable, u l-qalba tgħaddi dak ir-rapport lis-socket li għandu l-fluss. F'dak il-każ ir-rotta u l-ġar huma tajbin, u l-falliment jappartjeni għal qabża lil hinn min-netwerk lokali.

UDP jagħmel l-attribuzzjoni aktar diffiċli. Żball irritornat minn sejħa ta' ibgħat jew irċievi aktar tard jista' jirreferi għal datagram preċedenti, għalhekk l-indirizz u l-ħin tas-sejħa li qed tfalli jistgħu ma jaqblux mal-pakkett li qanqal ir-rapport. Socket UDP konness jirċievi l-iżball darba, u socket mhux konness jista' qatt ma jarah.

Għalhekk il-ħin huwa parti mill-evidenza. Innota meta deher l-iżball, liema indirizz tal-pari uża s-socket, u jekk it-tunnel kienx għadu kif reġa' nqabbad. Żbroff eżatt wara bidla fir-rotta jindika t-tabella lokali; żball wieħed wara ftit minuti fi fluss stabbli jindika rapport tal-perkors.

Issepara s-saffi qabel ma tbiddel il-kripto

Tliet mistoqsijiet jikklassifikaw l-iżball. Il-qalba għażlet rotta li tirrifjuta d-destinazzjoni? Għażlet rotta valida imma naqset milli tirriżolvi l-qabża li jmiss? Jew wasal rapport minn lil hinn min-netwerk lokali? Biss it-tielet każ jista' jinvolvi t-tarf imbiegħed tat-tunnel, u lanqas dak ma jinvolvi l-encryption.

Problemi ta' awtentikazzjoni u negozjar jidhru bħala żbalji tagħhom stess wara li t-trasport jilħaq il-pari. Li tbiddel sifra jew terġa' tinstalla l-klijent ma tistax tissewwi rotta unreachable lokali, u teqred l-evidenza tar-rotta u tal-ġar li tkun teħtieġ għall-kawża reali.

Irreġistra d-destinazzjoni, in-namespace, it-tabella magħżula, il-qabża li jmiss, il-qagħda tal-ġar u l-ħin tal-iżball qabel l-ewwel bidla. Erġa' mexxi l-istess tfittxija wara s-sewqan; rotta li issa turi lejn it-tunnel u entrata tal-ġar li issa tiġi riżolta huma prova aktar b'saħħitha minn ping li rnexxa lejn indirizz mhux relatat.