Preusmeritve ICMP proti vašim potem VPN: kaj se zares spremeni

Tok, ki bi moral iti skozi tunel, izbere drug naslednji skok in nekdo v zajemu najde preusmeritev ICMP. To je hipoteza, ne diagnoza. Preusmeritev je predlog usmerjevalnika o boljšem naslednjem skoku, in ali bo gostitelj ukrepal, je odvisno od nastavitev, ki se razlikujejo po platformi, po vmesniku in po družini naslovov.

Preusmeritev je predlog usmerjevalnika

Preusmeritve ICMP IPv4 imajo svoj tip sporočila in ozek nabor pogojev: usmerjevalnik pošlje paket skozi vmesnik, po katerem je prišel, in pozna na isti povezavi naslednji skok, ki je bližje cilju. Nato pove pošiljatelju, naj ta skok uporabi neposredno. Sporočilo navaja nov prehod in vsebuje del izvirnega paketa, da ga lahko pošiljatelj poveže s tokom. To je vljudno sporočilo o lokalni topologiji in predpostavlja, da si pošiljatelj deli povezavo s predlaganim prehodom.

Pošiljatelj ga lahko prezre. Protokol od gostitelja ne zahteva, da spremeni svojo tabelo, zajeta preusmeritev pa dokazuje le, da jo je usmerjevalnik poslal.

Prav na tej razliki se zmoti večina preiskav preusmeritev.

IPv4 in IPv6 jo dostavita drugače

IPv6 ima podoben mehanizem v odkrivanju sosedov in ne v ICMPv4, z drugimi oblikami sporočil in drugimi pravili preverjanja. Pojmi se rimajo, paketi ne. Filter zajema, napisan za tip ICMP 5, v omrežju IPv6 ne pokaže ničesar, kar se včasih bere kot dokaz, da do preusmeritve ni prišlo.

Tudi politični parametri so ločeni, zato lahko gostitelj sprejema preusmeritve IPv4 in prezre tiste IPv6, ali obratno.

Preverite obe družini, če lahko obravnavani tok uporablja katero koli od njiju.

Sprejemanje je politika gostitelja, ne dejstvo omrežja

V Linuxu je sprejemanje preusmeritev nadzorovano na vmesniku in globalno, privzete vrednosti pa se razlikujejo med vlogo gostitelja in usmerjevalnika. Tunelski vmesnik, ki sprejema preusmeritve, je čudna zasnova, ker v tunelu od točke do točke ni smiselnega nadomestnega naslednjega skoka na isti povezavi. Zato je to nastavitev vredno prebrati, ne pa predpostaviti.

Nastavitve varne preusmeritve dodatno omejujejo, katerim prehodom je mogoče verjeti.

Če gostitelja zaostrujete, so to parametri, ki jih je treba pregledati, in so tudi razlog, da se dva stroja v istem omrežju lahko obnašata različno. Spreminjajte jih kot politiko, ne kot bližnjico pri odpravljanju napak.

Česa preusmeritev ne more pojasniti

Konkretne poti, pravila političnega usmerjanja in lokalni vmesniki pojasnijo večino nepričakovanih poti brez kakršne koli preusmeritve. Natančnejša predpona, pravilo, ki se ujema z izvornim naslovom, ali druga privzeta pot v drugi tabeli vsak od njih preglasi pot, ki ste jo pričakovali. Najprej preverite te, ker so deterministični in vidni.

Zastarel zajem je druga past, ker ima odjemalec, ki je zamenjal omrežje, drug lokalni prehod.

Stara preusmeritev iz prejšnje povezave ne pojasni ničesar o trenutni poti, zato zapišite, kateri vmesnik zdaj prejema nadzorni promet.

Preverite pot, preden obtožite tunel

Vprašajte jedro, katero pot bi uporabilo za cilj, nato jo primerjajte s tabelo, ki ste jo imeli v mislih. Če se odgovor ujema s tabelo, nobena preusmeritev ni ničesar spremenila in preiskava sodi drugam. Če se ne ujema, preden domnevate, da je kriv tunel, poiščite predpomnjeno preusmeritev, politično pravilo ali drugo tabelo. Iskanje poti je resnica, vse ostalo pa je zgodba o tem, kako je do tega prišlo.

Preusmeritev nikoli ne bi smela biti razlog, da zaščitena pot tiho postane nezaščitena, zato politika sprejemanja sodi v pregled zasnove. Opredelitev v RFC 792 ostaja referenca za to, kaj lahko sporočilo IPv4 pove.

Zapišite iskanje poti in časovni žig zajema skupaj, in naslednja oseba bo lahko ponovila vaš sklep.