Redirecionamentos ICMP versus suas rotas VPN: o que realmente muda

Um fluxo que deveria atravessar o túnel escolhe um próximo salto diferente, e alguém encontra um redirecionamento ICMP numa captura. Isso é uma hipótese, não um diagnóstico. Um redirecionamento é uma sugestão do roteador sobre um próximo salto melhor, e se o host age conforme ela depende de configurações que variam por plataforma, por interface e por família de endereços.

Um redirecionamento é uma sugestão do roteador

Redirecionamentos ICMP IPv4 têm tipo de mensagem próprio e um conjunto estreito de condições: o roteador encaminha um pacote pela interface por onde ele chegou, e conhece na mesma ligação um próximo salto mais próximo do destino. Em seguida, diz ao remetente para usar esse salto diretamente. A mensagem nomeia o novo gateway e inclui parte do pacote original, para que o remetente possa associá-lo a um fluxo. É uma mensagem de cortesia sobre a topologia local, e pressupõe que o remetente compartilha a ligação com o gateway sugerido.

O remetente é livre para ignorá-lo. Nada no protocolo obriga um host a mudar sua tabela, e um redirecionamento capturado prova apenas que um roteador enviou um.

É nessa distinção que a maioria das investigações de redirecionamento erra.

IPv4 e IPv6 o entregam de formas diferentes

O IPv6 tem um mecanismo análogo dentro da descoberta de vizinhos e não no ICMPv4, com formatos de mensagem e regras de validação diferentes. Os conceitos rimam, os pacotes não. Um filtro de captura escrito para o tipo ICMP 5 não mostra nada numa rede IPv6, o que às vezes é lido como prova de que nenhum redirecionamento ocorreu.

Os controles de política também são separados, então um host pode aceitar redirecionamentos IPv4 e ignorar os IPv6, ou o contrário.

Verifique as duas famílias se o fluxo em questão puder usar qualquer uma delas.

Aceitação é política do host, não fato da rede

No Linux, a aceitação de redirecionamentos é controlada por interface e globalmente, e os padrões diferem entre a função de host e a de roteador. Uma interface de túnel que aceita redirecionamentos é um projeto estranho, pois num túnel ponto a ponto não existe alternativa significativa de próximo salto na mesma ligação. Por isso essa configuração merece leitura, e não suposição.

Configurações de redirecionamento seguro restringem ainda mais quais gateways podem ser acreditados.

Se você está endurecendo um host, esses são os controles a revisar, e são também a razão de duas máquinas na mesma rede se comportarem de forma diferente. Mude-os como política, não como atalho de depuração.

O que um redirecionamento não explica

Rotas específicas, regras de roteamento por política e interfaces locais explicam a maioria dos caminhos inesperados sem nenhum redirecionamento. Um prefixo mais específico, uma regra que corresponda ao endereço de origem, ou um segundo padrão em outra tabela cada um deles sobrescreve a rota que você esperava. Verifique esses primeiro, porque são determinísticos e visíveis.

Uma captura antiga é a outra armadilha, pois um cliente que mudou de rede tem outro gateway local.

Um redirecionamento antigo da conexão anterior não explica nada sobre o caminho atual, então registre qual interface recebe o tráfego de controle agora.

Verifique a rota antes de culpar o túnel

Pergunte ao kernel qual rota ele usaria para o destino, depois compare com a tabela que você pretendia. Se a resposta corresponder à tabela, nenhum redirecionamento mudou nada e a investigação pertence a outro lugar. Se não corresponder, procure um redirecionamento em cache, uma regra de política ou uma segunda tabela antes de supor que o túnel é o culpado. A consulta de rota é a verdade fundamentada, e todo o resto é uma história sobre como se chegou ali.

Um redirecionamento nunca deveria ser o motivo de um caminho protegido se tornar silenciosamente desprotegido, e por isso a política de aceitação pertence à revisão de projeto. Definição na RFC 792 continua a ser a referência para o que a mensagem IPv4 pode dizer.

Registre a consulta de rota e o carimbo de tempo da captura juntos, e a próxima pessoa poderá reproduzir sua conclusão.