Linux EHOSTUNREACH د OpenVPN سره: کوم بل ګام ناکام شو؟

EHOSTUNREACH په همدې اندازه محلي پرېکړه ده لکه لیرې ناکامي. کرنل کولی شي یو پاکټ رد کړي ځکه چې مسیر وايي منزل نارسیدونکی دی، ځکه چې د Ethernet بل ګام هیڅکله ځواب نه ورکړ، یا ځکه چې د لارې له لیرې برخې څخه د ICMP host-unreachable راپور راغی. هر سرچینه په بېل جدول یا کیش کې ژوند کوي، او هر یو په بېل ځای کې سمول کیږي. د سایفرونو لمسولو یا تونل بیا نصبولو دمخه ټاکل شوی مسیر او د بل ګام حالت ولولئ.

هغه پته او نوم ځای وټاکئ چې کلاینټ واقعاً کاروي

د هغه منزل او شبکې نوم ځای په ټاکلو سره پیل وکړئ چې تېروتنه یې پیدا کړې. VPN کلاینټ کولی شي په خپل نوم ځای کې کار وکړي، او د ډیفالټ نوم ځای څخه لټون بل روټینګ جدول ته ګوري چې بېل پالیسي قواعد لري.

لټون باید د ناکامېدونکي اپلیکیشن په څېر ورته سرچینه، نښه او جدول شرایط وکاروي، که نه نو کیدای شي د هغې پوښتنې ځواب ورکړي چې چا نه ده کړې. د یو مثال IPv4 سیال لپاره یوازې د لوستلو ازموینې دا دي:

ip -4 route get 198.51.100.25
ip -4 neigh show 198.51.100.1
ip -4 route show table all | grep -w unreachable

د اداري شیل پایله یوازې هغه څه ثابتوي چې هغه شیل به یې کوي. که کلاینټ د فایر وال نښه وټاکي یا له VRF سره وتړل شي، لټون د سمې نښې سره یا د VRF دننه تکرار کړئ، او ټاکل شوی مسیر او بل ګام پرتله کړئ. لومړنۍ پته چې باید تایید شي د پروفایل کې د سیال پته ده، نه هغه کلسټر یا خدمت چې کاروونکی یې نوموي.

یو څرګند نارسیدونکی مسیر پاکټ په محلي توګه ردوي

د unreachable ډول مسیر یو قصد شوی محلي ځواب دی. دا کرنل ته وايي چې پاکټ وغورځوي او EHOSTUNREACH لیږونکي ته بیرته راولي، له همدې امله تېروتنه سمدلاسه او د ماشین څخه د هیڅ ترافیک د وتلو پرته ښکاري. یو چا، یا یو څه اتومات، هغه مسیر په قصد هلته ایښی دی.

د مسیر ډولونه د یو بل بدلون وړ نه دي. Blackhole پاکټ لیږونکي ته د تېروتنې پرته غورځوي، prohibit EACCES بیرته راولي، او unreachable EHOSTUNREACH بیرته راولي. نو هغه VPN مرستندوی چې د بیا نښلولو پر مهال د زړې مسیر نصبوي کولی شي د host-unreachable تېروتنو یوه څپه رامنځته کړي چې د تونل په پورته کیدو سره ورک شي، پداسې حال کې چې blackhole مسیر به پرځای یې غلی وختونه رامنځته کړي.

د لیرې پای د ملامتولو دمخه په ټولو جدولونو کې ډول ولټوئ. هغه قاعده چې جدول ټاکي د هغې دننه د مسیر په اندازه مهمه ده، او د اصلي جدول ته اضافه شوی مسیر هغه کلاینټ ته مرسته نه کوي چې د هغې پالیسي قاعده یې ترافیک بل ځای ته لیږي.

مړ ګاونډی په Ethernet کې ورته تېروتنه پیدا کوي

کله چې ټاکل شوی مسیر په لینک باندې ګیټ وې کاروي، تحویل ته د لینک طبقې حل شوې پته ته اړتیا ده. کرنل د ARP یا IPv6 ګاونډي غوښتنه لیږي، او که ځواب را نه شي پاکټ نشي فریم کیدای. بیا لیږل د EHOSTUNREACH سره ناکام کیږي که څه هم مسیر پخپله سم دی.

د ګاونډیانو جدول مرحله نوموي. INCOMPLETE معنی دا ده چې حل لاهم روان دی، FAILED معنی دا ده چې وروستي هڅې ځواب نه دی ترلاسه کړی، او REACHABLE یا STALE معنی دا ده چې کرنل د کارولو وړ پته لري. د VPN ګیټ وې لپاره د FAILED ننوتل یو محلي تحویلي ستونزه ده، نه د تونل لیرې اړخ په اړه شاهد.

ننوتل د اصلي بل ګام لپاره ولولئ، نه د لیرې انټرنیټ پتې لپاره. لیرې پتې ته معمولاً د روټر له لارې رسیږي، نو د دې خپل ARP ریکارډ به نه وي؛ د هغې غوښتنه یوه کټګوري تېروتنه ده چې خلک د هغې ورکه ننوتلې لټولو ته لیږي چې باید هیڅکله نه وای.

لیرې راپورونه او غیر همغږې UDP تېروتنې

EHOSTUNREACH کولی شي له بهر هم راشي. هغه روټر چې پاکټ نشي لیږدولی کیدای شي ICMP host unreachable ولیږي، او کرنل هغه راپور هغه ساکټ ته رسوي چې جریان لري. په دې حالت کې مسیر او ګاونډی سم دي، او ناکامي د محلي شبکې هاخوا یو ګام پورې اړه لري.

UDP انتساب ستونزمنوي. هغه تېروتنه چې د وروستي لیږلو یا ترلاسه کولو غوښتنې لخوا بیرته راګرځي کیدای شي پخواني ډیټاګرام ته اشاره وکړي، نو د ناکامې غوښتنې پته او وخت ممکن د هغه پاکټ سره سمون ونه لري چې راپور یې هڅولی. نښلول شوی UDP ساکټ تېروتنه یو ځل ترلاسه کوي، او نه نښلول شوی ساکټ ممکن هیڅکله یې ونه ګوري.

له همدې امله وخت د شاهدانو برخه ده. ولیکئ چې تېروتنه کله ښکاره شوه، ساکټ کومه د سیال پته وکاروله، او ایا تونل سمدلاسه بیا نښلول شوی و. د مسیر بدلون وروسته یوه څپه محلي جدول ته اشاره کوي؛ د باثباته جریان په منځ کې د یوې دقیقې وروسته یوازینۍ تېروتنه د لارې راپور ته.

د کریپټو بدلولو دمخه طبقې جلا کړئ

درې پوښتنې تېروتنه طبقه بندي کوي. ایا کرنل هغه مسیر وټاکه چې منزل ردوي؟ ایا سم مسیر یې وټاکه خو بل ګام یې حل نه کړ؟ یا له محلي شبکې هاخوا یو راپور راغی؟ یوازې دریم حالت کولی شي د تونل لیرې پای شامل کړي، او حتی بیا هم کریپټو شامل نه کوي.

د تصدیق او خبرو اترو ستونزې د ترانسپورت له سیال سره مخامخ کیدو وروسته خپلې تېروتنې ښکاري. د سایفر بدلول یا کلاینټ بیا نصبول محلي unreachable مسیر نشي سمولی کولی، او هغه مسیر او ګاونډي شاهدونه له منځه وړي چې د اصلي لامل لپاره یې اړتیا لرئ.

د لومړي بدلون دمخه منزل، نوم ځای، ټاکل شوی جدول، بل ګام، د ګاونډي حالت او د تېروتنې وخت ولیکئ. د سمون وروسته ورته لټون بیا چل کړئ؛ هغه مسیر چې اوس تونل ته اشاره کوي او هغه ګاونډي ننوتل چې اوس حل کیږي د یوې بېربې بریالۍ ping څخه قوي شاهد دي.