Ping permezz ta’ VPN: għaliex ir-regoli tat-tweġiba tal-echo jaqbgħu t-triq lura

Ibgħat ping lejn host permezz ta’ VPN u t-talba toħroġ b’tip ICMP wieħed u terġa’ lura b’ieħor, u dan biżżejjed biex iħawwad kull regola miktuba f’termini ta’ ports. Fi skambju tal-echo m’hemmx port tas-servizz fid-destinazzjoni li jista’ jiġi kkupjat fir-regola tat-tluq lura, u filter li jistenna simetrija se jwarrab it-tweġiba waqt li t-talba tgħaddi bla xkiel. Il-korrezzjoni tibda bil-qari tal-pakkett kif inhu fil-verità, u mbagħad bid-deċiżjoni ta’ liema fruntiera fit-triq qed tieħu d-deċiżjoni. Normalment jaħdmu żewġ saffi filwaqt li t-tielet iwarrab it-tweġiba bil-kwiet. Is-sezzjonijiet hawn taħt jifirduhom fl-ordni li pakkett jiltaqa’ magħhom.

Il-pakkett ibiddel it-tip, mhux il-port

Talba tal-echo hija ICMP tip 8, kodiċi 0, u ġġorr identifikatur u numru tas-sekwenza. It-tweġiba hija tip 0, kodiċi 0, bl-istess identifikatur u sekwenza, u t-truf IP maqlubin. RFC 792 tiddefinixxi dawk l-oqsma, u l-identifikatur huwa dak li jħalli lill-mibgħat iqabbel it-tweġibiet mat-talbiet tiegħu stess.

Dak li hu nieqes huwa daqstant importanti: m’hemmx intestatura TCP jew UDP, għalhekk m’hemmx port x’jiġi permess. Regola li ssemmi port għal tweġiba tal-echo tiddeskrivi pakkett li qatt ma se jeżisti. Dan huwa l-iżball l-aktar komuni fil-biljetti tal-ping tal-VPN. Ir-regola tidher speċifika, ma tapplika għal xejn, u tħalli l-ħsara eżatt fejn kienet.

Tliet kuntesti jiddeċiedu l-pakkett

Jekk il-ping jimmarka host fuq il-LAN imbiegħed, it-talba trid tiġi mgħoddija mill-gateway. Jekk jimmarka indirizz li jappartjeni lill-gateway stess, tispiċċa fit-triq tad-dħul lokali minflok. Jekk il-gateway innifsu jibda l-ping, il-pakkett jibda fit-triq tal-ħruġ tiegħu stess u ma jaqsam xejn id-deċiżjoni tal-forwarding.

Dawn it-tliet kuntesti għandhom ktajjen ta’ regoli u kontaturi differenti, u li jitqiesu bħala wieħed huwa r-raġuni għaliex «il-firewall jippermetti ICMP» xorta jista’ jagħti ping fallut. It-tunnel ta’ barra huwa r-raba’ kuntest: li tippermetti s-semmiegħ tal-VPN ma jippermettix awtomatikament it-talba interna dekapżulata, u permess intern ma jgħid xejn dwar jekk it-tunnel ta’ barra huwiex attiv.

Filters stateful u stateless jimmaniġġjaw it-tweġiba b’mod differenti

Firewall stateful li ra t-talba ħierġa jista’ jassoċja t-tweġiba ma’ dak il-fluss u jħalliha tgħaddi mingħajr it-tieni regola. Filter stateless m’għandux tali memorja, għalhekk id-direzzjoni lura teħtieġ il-permess espliċitu tagħha stess, bis-sors u d-destinazzjoni maqlubin.

Iċċekkja liema mudell il-prodott verament jimplimenta qabel ma tikteb xi ħaġa. Regola għat-talba tal-echo mhux bilfors tkopri t-tweġiba tal-echo, u prodott li jsegwi mistoqsijiet ICMP xorta jista’ japplika politika differenti għal tweġibiet li jaslu fuq interfaċċa oħra.

Illimita dak li tippermetti. Li tippermetti kull tweġiba tal-echo minn kullimkien mhuwiex l-istess bħal li tlest l-assoċjazzjoni stateful, u numru tat-tip ma jawtentikax lill-mibgħat.

It-traduzzjoni tibdel ukoll l-identifikatur

Jekk it-traduzzjoni tas-sors hija intenzjonata, it-tuple fit-tarf imbiegħed ma taqbilx ma’ dik li bagħat il-klijent. NAT jista’ jittraduċi l-identifikatur tal-mistoqsija ICMP flimkien mal-indirizzi, għalhekk l-insistenza li l-istess numru jidher fuq iż-żewġ naħat toħloq nuqqas ta’ qbil falz.

Minflok ikkorrela l-mapping li jirrapporta t-traduttur. Traduttur li jerġa’ jikteb l-identifikatur mhux se jżomm in-numru li rreġistra l-klijent tiegħek, għalhekk ittratta l-mapping bħala l-identità u mhux in-numru. Imbagħad segwi talba waħda rikonoxxibbli mat-triq: ikkonferma li tasal fid-destinazzjoni bis-sors mistenni, ikkonferma li d-destinazzjoni ħarġet tweġiba, segwi r-rotta ta’ dik it-tweġiba lura, u kkonferma li l-klijent irċevieha minflok ma sempliċement rajt kontatur tal-gateway jogħla.

Tgħaqqadx l-iżbalji ICMP fil-politika tal-echo

Il-messaġġ «jeħtieġ frammentazzjoni» li juża l-iskoperta tal-MTU tat-triq mhuwiex tweġiba tal-echo, u l-payload tiegħu jikkwota l-pakkett li kkawżah. Permess tal-echo biss li jwarrab dawk l-iżbalji bil-kwiet ibiddel problema tad-daqs f’konnessjoni mdendla, li hija l-oppost ta’ utli.

L-istess kawtela tapplika għall-familji tal-indirizzi. ICMPv6 juża tipi ta’ messaġġi differenti u jġorr funzjonijiet essenzjali li IPv4 m’għandux, għalhekk li tikkupja dawn in-numri f’regola IPv6 hija sempliċement żball.

Meta l-iskambju tal-echo jaħdem, iċċekkja l-applikazzjoni reali separatament. Ping ta’ suċċess jipprova l-mixja ’l hemm u lura ta’ protokoll wieħed, f’daqs wieħed, lejn destinazzjoni waħda, u mhuwiex liċenzja biex tassumi li HTTPS, SMB jew kwalunkwe fluss ieħor huwa permess.