Zakaj traceroute umre v eni smeri skozi tunel VPN

Izhod traceroutea, ki se zaključi v eni smeri in v drugi izpiše vrstice zvezdic, je videti kot asimetrično posredovanje in običajno ni. Vsak prikazan skok potrebuje, da sonda prispe, da se usmerjevalnik odloči odgovoriti in da se odgovor vrne ter se ujame s sondo. Prekinite kateri koli od teh členov in vrstica postane zvezdica, medtem ko tunel še naprej prenaša podatke.

Sled je dokaz o diagnostiki prej, kot je dokaz o prenosu. Vprašanje, ki se ga je vredno vprašati, je, kateri od treh členov je odpovedal, in odgovor prihaja iz paketov, ne iz oblike izhoda.

Zvezdica je manjkajoč odgovor, ne manjkajoč skok

Traceroute se premika navzven s pošiljanjem sond, katerih TTL v vsakem krogu poteče en usmerjevalnik dlje. Usmerjevalnik, ki zavrže poteklo sondo, bi moral vrniti sporočilo ICMP Time Exceeded z lastnim imenom, in orodje to ime izpiše. Orodje v resnici čaka, da to sporočilo prispe v okviru časovne omejitve. Če usmerjevalnik odgovori z drugega naslova vira, omeji, kako pogosto ustvarja napake, ali sondo brez besede zavrže, krog ne da ničesar za izpis.

Noben od teh izidov ne pravi, da je pot naprej pokvarjena. Zvezdica je poročilo o neodgovorjeni pošti, ne o prazni cesti.

Metoda sonde odloča, na kateri filter naletite

Privzeta metoda v Linuxu je običajno ciljna vrata UDP z visoko številko, tracert v Windows pošilja odmeve ICMP, Linuxu pa je mogoče naročiti, naj namesto tega uporabi ICMP ali TCP. Vsak od njih je za požarni zid s stanjem ali oblačno varnostno skupino videti kot druga vrsta prometa. Primerjanje sledi UDP z ene strani s sledjo ICMP z druge strani primerja dva različna poskusa. Določite metodo, družino naslovov, naslov vira in časovno omejitev, preden rezultate imenujete razlika.

Za pošteno primerjavo zaženite sled z gostiteljev, ki promet dejansko nosijo, ne s prehoda, ki posreduje v njihovem imenu. Sled, ki jo ustvari usmerjevalnik, uporablja lastni naslov vira in izhodno politiko, ki sta lahko strožja od vsega, kar vidi odjemalec. Zapišite natančen ukaz, da ga bo naslednja oseba lahko ponovila.

Vrednost časovne omejitve je druga polovica poskusa in jo v zapiskih zlahka izpustimo. Čakanje dveh sekund na preobremenjeni poti poroča zvezdice tam, kjer čakanje petih sekund poroča skoke. Ohranite vrednost enako v vseh zagonih, da primerjava ostane o omrežju.

Povratna pot je lastna pot

Napaka ICMP je običajen paket z lastnim virom in ciljem, in potrebuje pot nazaj do sledilnika. Če politika tunela nosi predpone LAN, ne pa naslova usmerjevalnika, ki je ustvaril napako, sporočilo odide po poti, ki vas ne more doseči. Filtriranje odgovorov ga lahko zavrže tudi, ko pot obstaja, ker paket prispe z nepričakovanega naslova na nepričakovanem vmesniku. To je neskladje v diagnostični ravnini, ne okvara aplikacije.

Razširjanje vsakega selektorja, dokler se sled ne zaključi, naredi sliko lepšo in politiko slabšo. Popravite določen diagnostični naslov ali sprejmite zvezdico in preizkusite aplikacijo drugače.

Potrdite tunel z resnično zahtevo

Rokovanje TCP na lastnih vratih storitve preizkusi posredovanje, povratno usmerjanje in filtriranje v smeri, ki je pomembna. Ukazi spodaj tečejo na obeh koncih in primerjajo, kaj lahko vsaka stran odpre. Zamenjajte vrata storitve in ime vmesnika tunela s svojimi nastavitvami.

traceroute -I -n -w 2 203.0.113.40
traceroute -T -p 443 -n -w 2 203.0.113.40
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' --max-time 5 http://203.0.113.40:8080/health
ss -tan state established

Najprej preberite oba zagona traceroutea: če zagon ICMP kaže skoke, zagon TCP pa ne, je razlika v metodi, ne v poti. Nato vzemite rezultat curl kot odgovor na ravni aplikacije, ker dokončana izmenjava z razumno kodo stanja pomeni, da pot naprej in povratna pot delujeta za resničen promet. Seznam vtičnic pokaže, ali je povezava sploh vzpostavljena, česar vam nobena sled ne more povedati.

Tunel, ki v obe smeri nosi interaktivno sejo, medtem ko en traceroute izpisuje zvezdice, je zdrav in le nefotogeničen. Shranite izhod ukazov vsake strani kot zapis in manjkajoče skoke obravnavajte kot odprto vprašanje o diagnostiki, ne kot razsodbo o VPN.