Kvifor traceroute døyr i éi retning gjennom ein VPN-tunnel

Traceroute-utdata som fullførast i éi retning og skriv ut rader med stjerner i den andre, ser ut som asymmetrisk videresending, og det er det som regel ikkje. Kvar viste hopp krev at proben kjem fram, at ein ruter bestemmer seg for å svare, og at svaret reiser tilbake og blir para med proben. Bryt éi av desse lenkjene, og rada blir ei stjerne medan tunnelen held fram med å bera data.

Sporet er prov om diagnostikk før det er prov om transport. Spørsmålet som er verdt å stille, er kva av dei tre lenkjene som svikta, og svaret kjem frå pakkane, ikkje frå forma på utdataa.

Ei stjerne er eit manglande svar, ikkje eit manglande hopp

Traceroute flyttar seg utover ved å senda prober der TTL renn ut éin ruter lenger borte i kvar runde. Ein ruter som kastar ei utgått probe, skal returnera ei ICMP Time Exceeded-melding som nemner seg sjølv, og verktøyet skriv ut det namnet. Det verktøyet faktisk ventar på, er at meldinga kjem innanfor eit tidsavbrot. Viss ruteren svarar frå ei anna kjeldeadresse, avgrensar kor ofte han genererer feil, eller droppar proben utan eit ord, gir runden ingenting som kan skrivast ut.

Ingen av desse utfalla seier at vegen framover er øydelagd. Ei stjerne er ein rapport om ubesvart post, ikkje om ein tom veg.

Probemetoden avgjer kva filter du møter

Standardmetoden på Linux er som regel ein UDP-destinasjonsport med høgt nummer, tracert i Windows sender ICMP-ekko, og Linux kan få beskjed om å bruka ICMP eller TCP i staden. Kvar av dei ser ut som ein annan type trafikk for ein stateful brannmur eller ei sky-tryggleiksgruppe. Å samanlikna eit UDP-spor frå den eine sida med eit ICMP-spor frå den andre samanliknar to ulike eksperiment. Fest metoden, adressefamilien, kjeldeadressa og tidsavbrotet før du kallar resultata ein skilnad.

For ei rettvis samanlikning, køyr sporet frå vertane som faktisk ber trafikken, ikkje frå ein gateway som videresender på deira vegner. Eit rutergenerert spor brukar rutaren si eiga kjeldeadresse og utdatapolitikk, som kan vera strengare enn noko ein klient ser. Noter den nøyaktige kommandoen slik at neste person kan gjenta han.

Tidsavbrotverdien er den andre halvdelen av eksperimentet, og han er lett å utelata frå notata. Ei venting på to sekund på ein overbelasta veg rapporterer stjerner der ei venting på fem sekund rapporterer hopp. Hald verdien identisk på tvers av køyringar slik at samanlikninga blir verande om nettverket.

Returvegen er sin eigen rute

Ein ICMP-feil er ein vanleg pakke med sin eigen kjelde og destinasjon, og han treng ein rute tilbake til traceren. Viss tunnelpolitikken ber LAN-prefiksa men ikkje ruteradressa som genererte feilen, forlèt meldinga ein veg som ikkje kan nå deg. Svarfiltrering kan droppa henne sjølv når ruta finst, fordi pakken kjem frå ei uventa adresse på eit uventa grensesnitt. Det er eit mismot i diagnostikkplanet, ikkje ein applikasjonsfeil.

Å utvida kvar selektor til sporet fullførast, gjer biletet penare og politikken verre. Reparer den spesifikke diagnostikkadressa, eller godta stjerna og test applikasjonen på ein annan måte.

Stadfest tunnelen med ein ekte førespurnad

Eit TCP-handtrykk på tenesta si eiga port øver videresending, returrutting og filtrering i retninga som betyr noko. Kommandoane nedanfor køyrer i begge endar og samanliknar kva kvar side kan opna. Bytt ut tenesteporten og namnet på tunnelgrensesnittet med dine eigne innstillingar.

traceroute -I -n -w 2 203.0.113.40
traceroute -T -p 443 -n -w 2 203.0.113.40
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' --max-time 5 http://203.0.113.40:8080/health
ss -tan state established

Les dei to traceroute-køyringane først: viss ICMP-køyringa viser hopp og TCP-køyringa ikkje gjer det, er skilnaden metode, ikkje veg. Ta deretter curl-resultatet som svaret på applikasjonsnivå, fordi ein fullført utveksling med ein fornuftig statuskode betyr at både vegen framover og returvegen verkar for ekte trafikk. Socketlista viser om sambandet i det heile er etablert, noko ingen spor kan fortelja deg.

Ein tunnel som ber ei interaktiv økt i begge retningar medan eitt traceroute skriv ut stjerner, er sunn og berre lite fotogen. Ta vare på kommandoutdataa frå kvar side som registreringa, og handsam manglande hopp som eit ope spørsmål om diagnostikk i staden for ein dom om VPN-en.