Sababta xannibaadda dhammaan ICMP ay u jebiso waddo VPN shaqaynaysa

Tunnel-ka soo mara xaqiijinta, qaada ping, kadibna istaaga wareejinta weyn ee ugu horreysa waa calaamadda caadiga ah ee fariin ICMP maqan, ma aha VPN jabay. Dirta marnaba ma ogaado in baakadku aad u weynaa, wuxuu ku celceliyaa isla cabbirka, barnaamijkuna wuu sugayaa. Tan hagaajinta waa go'aan siyaasadda firewall, ma aha dib u rakibidda macmiilka. Nidaamka ayaa muhiim ah: cabbir halka xadka cabbirku yaallo, ka dibna yaree qaanuunka liqay warbixinta.

Waxa ICMP run ahaantii qaado waddadan

Ogaanshaha MTU waddada IPv4 wuxuu ku tiirsan yahay in router-ku soo sheego in baakad leh bit don't-fragment aan la gudbin karin. Warbixintaas waa fariin ICMP Fragmentation Needed, la'aanteedna dirta ma haysto sabab ay ku yareyso cabbirka qaybteeda. IPv6 aad buu u adag yahay: router-yadu kuma kala qaybiyaan gudbinta, sidaas darteed fariin ICMPv6 Packet Too Big waa calaamadda kaliya ee dirta yareyso.

Labada fariin waa jawaab-celin heerka kontoroolka, midkoodna ma aha dhawaaqa ogaanshaha. Siyaasad xannibaysa ping iyo siyaasad xannibaysa dhammaan ICMP waxay u egyihiin liiska qaanuunada laakiin si aad u kala duwan ayay ugu dhaqmaan shabakadda. Tan labaad waxay tunnel si sax ah u cabbiran u rogi kartaa waddo hal jiho ah wax kasta oo ka weyn xiriirka ugu yar silsiladda.

Qaar ka mid ah gaadiidka waxay ku hirgeliyaan ogaanshahooda baakado tijaabo ah, sida RFC 4821 qeexayo, oo waxay ku yar yihiin ku tiirsanaanta jawaab-celintan. Tani waa dood lagu hubiyo gaadiidka aad waddo, ma aha in loo maleyo in tunnel kastaa uu ka hortag yahay.

Guuldarraddu waxay ku xiran tahay cabbirka

Weydii haddii guuldarraddu la xiriirto cabbirka baakadka. Bogga gelitaanka, weydiinta DNS iyo wicitaanka API gaaban way guuleystaan, halka soo gelinta faylka, jawaab weyn ama soo dejinta sawirku ay istaagaan. Qaabkani wuxuu tilmaamayaa xad cabbir meel u dhaxeeya labada daraf, ma aha xaqiijin ama marin. ping yar oo guuleysta wax badan kama sheego halka xadkaas yahay.

Gudaha tunnel-ka waxaa jira laba lakab oo la tixgeliyo: baakadka xamuulka iyo baakadka dibadda ee la duubay. Dirta gudaha waxay si sax ah u dhaqmi kartaa iyadoo waddada dibaddu ka yar tahay waxa tunnel-ku u malaynayo, taas darteed labadaba muhiim ah goobta MTU ee tunnel-ka laftiisa iyo xiriirka jirka ee hoostiisa.

Cabbir ka hor intaadan wax ka beddelin qaanuunada

Ku tijaabi bit don't-fragment iyo cabbir xamuul aad adigu dooratay, laga bilaabo macmiilka guuldareystay oo u jeedda cinwaan la ilaaliyay:

ping -M do -s 1472 10.20.5.7
ping -M do -s 1300 10.20.5.7

Xamuul 1472 byte ah oo lagu daray 28 byte madaxyo wuxuu sameeyaa baakad 1500 byte ah. Haddii tijaabada weyn ay ku guuldareysato khalad kala-qaybin oo tan yari ay gudubto, waad heshay xadka; u hagaaji kharashka dheeriga ah ee tunnel-ka oo ku celi ilaa cabbirka shaqaynaya uu xasillo.

Kadib xaqiiji in farqigu yahay warbixinta lafteeda. Haddii tijaabadu si aamusan u guuldareysato, iyada oo aan khalad iyo jawaab lahayn, fariinta waa la tuurayaa halka la gaarsiin lahaa, oo tuhmanaha waa qaanuunka.

Yaree qaanuunka, kadibna dib u tijaabi hawsha

Hagaajintu waa inay ogolaataa fariimaha kontoroolka gaarka ah, ma aha borotokoolka oo dhan. Martigeliyaha iptables qaabku waa oggolaansho nooc-gaar ah; u waafaji halabuurka waxa maamula firewall-ka boggaaga:

iptables -I INPUT -p icmp --icmp-type fragmentation-needed -j ACCEPT
ip6tables -I INPUT -p icmpv6 --icmpv6-type packet-too-big -j ACCEPT

Ka tag jawaabaha dhawaaqa oo xanniban haddii ay tahay siyaasadda maxalliga ah, maadaama waddadu uusan u baahnayn. Kadib dib u tijaabi wareejintii asal ahaan guuldareystay, laga bilaabo xiriir cusub, oo xaqiiji in tiriyaasha qaanuunku ay muujinayaan fariimaha imanaya.

Haddii wareejinta weyn ay wali istaagto ka dib markii fariimaha la oggolaaday, xadka hadhay meel kale ayuu ku yaal: MTU tunnel oo aad u sarreeya, proxy dib u qoraya baakadaha, ama sanduuq dhexe oo tuuraya halka uu soo sheegi lahaa. Qaanuunka ICMP wuxuu ahaa lagama maarmaan, ma ahayn ku filan.