Linux EHOSTUNREACH oo la socda OpenVPN: goobta xigta ee fashilantay waa kee?

EHOSTUNREACH inta badan waa go'aan maxalli ah sida uu yahay fashil fog. Kernel-ku wuxuu diidi karaa baakad sababtoo ah dariiq wuxuu sheegayaa in meesha loo socdo aan la gaadhi karin, sababtoo ah Ethernet-ka barta xigta waligeed ma jawaabin, ama sababtoo ah warbixin ICMP host-unreachable ah ayaa ka timid meel ka sii fog jidka. Isha kasta waxay ku nooshahay shax ama keyd kale, mid kastana meel kale ayaa lagu hagaajiyaa. Akhri dariiqa la doortay iyo xaaladda barta xigta ka hor inta aanad taaban ciphers ama dib u rakibin tunnel-ka.

Dooro cinwaanka iyo namespace-ka uu macmiilku dhab ahaan isticmaalo

Ku bilow inaad xajiso meesha loo socdo iyo namespace-ka shabakadda ee khaladka keenay. Macmiilka VPN wuxuu ku shaqayn karaa namespace u gaar ah, oo raadinta namespace-ka caadiga ah waxay eegtaa shax dariiqo kale oo leh xeerar siyaasad oo kale.

Raadintu waa inay isticmaasho isla isha, mark iyo macnaha shaxda sida barnaamijka fashilmayaa, haddii kale waxay ka jawaabi kartaa su'aal aan cidna weydiin. Tusaale ahaan macmiil IPv4, hubinta akhris-kaliya waa:

ip -4 route get 198.51.100.25
ip -4 neigh show 198.51.100.1
ip -4 route show table all | grep -w unreachable

Natiijada ka timaadda shell maamuleed waxay caddaynaysaa oo kaliya waxa shell-kaas samayn lahaa. Haddii macmiilku dejiyo firewall mark ama ku xidhmo VRF, ku celi raadinta mark la mid ah ama gudaha VRF, oo isbarbar dhig dariiqa la doortay iyo barta xigta. Cinwaanka ugu horreeya ee la xaqiijinayo waa cinwaanka peer-ka ku jira profile-ka, ma aha kooxda ama adeegga uu isticmaalaha sheegayo.

Dariiq unreachable cad ayaa baakadda maxalli ahaan diida

Dariiq noociisu yahay unreachable waa jawaab maxalli ah oo ula kac ah. Wuxuu kernel-ka ku yiraahdaa tuur baakadda oo soo celi EHOSTUNREACH dirista, taasina waa sababta khaladku u muuqdo isla markiiba iyada oo aan wax gaadiid ah ka bixin mishiinka. Qof ama otomaatig ayaa dariiqaas halkaas u dhigay si ula kac ah.

Noocyada dariiqyada lama beddeli karo. blackhole wuxuu tuuraa baakadda isagoon khalad u soo celin dirista, prohibit wuxuu soo celiyaa EACCES, unreachable-na wuxuu soo celiyaa EHOSTUNREACH. Kaaliyaha VPN ee rakibaya dariiq sink inta dib u xidhitaanka ayaa sidaas awgeed abuuri kara duufaan khaladaad host-unreachable ah oo meesha ka baxa marka tunnel-ku shaqeeyo, halka dariiqa blackhole uu beddelkiisa abuuri lahaa waqti-baxid aamusan.

Ka hor inta aanad eedayn dhinaca fog, ka raadi nooca dhammaan shaxaha. Xeerka doorta shaxda wuxuu muhiim u yahay sida dariiqa ku dhex jira, oo dariiq lagu daray shaxda weyn ma caawin doonto macmiil xeerkiisa siyaasadu gaadiidka u diro meel kale.

Deris dhintay ayaa isla khaladkaas ku abuura Ethernet-ka

Marka dariiqa la doortay isticmaalo irid ku xiran link-ga, gaadhsiintu waxay u baahan tahay cinwaan lakab-link oo la xalliyay. Kernel-ku wuxuu diraa ARP ama weydiimaha deriska IPv6, haddii jawaab aan imaninna baakadda lama qaabayn karo. Diristu markaas waxay ku fashilantaa EHOSTUNREACH inkastoo dariiqa laftiisu sax yahay.

Shaxda deriska waxay sheegtaa marxaladda. INCOMPLETE waxay la macno tahay xallin wali socota, FAILED waxay la macno tahay isku daygii ugu dambeeyay jawaab ma helin, REACHABLE ama STALE waxay la macno tahay kernel-ku wuxuu hayaa cinwaan la isticmaali karo. Diiwaan FAILED ah oo iridda VPN ah waa dhibaato gaadhsiin maxalli ah, ma aha caddayn ku saabsan dhinaca fog ee tunnel-ka.

Akhri diiwaanka barta xigta dhabta ah, ma aha cinwaanka internet-ka fog. Cinwaanka fog waxaa caadi ahaan laga gaadhaa router, marka ma yeelan doono diiwaan ARP u gaar ah; weydiintiiisa waa khalad nooc ah oo dadka u diraaya inay raadiyaan diiwaan maqan oo aan waligiis jiri lahayn.

Warbixinnada fog iyo khaladaadka UDP ee aan isku mar ahayn

EHOSTUNREACH waxa kale oo uu ka iman karaa dibadda. Router aan baakadda gudbin karin wuxuu diri karaa ICMP host unreachable, kernel-kuna wuxuu warbixintaas u gudbiyaa socket-ka iska leh socodka. Markaas dariiqa iyo derisku waa hagaagsan yihiin, fashilkaana waxaa iska leh barta ka shisheeya shabakadda maxalliga ah.

UDP waxay adkaysaa aqoonsiga sababta. Khalad soo celisay wicid send ama receive dambe ayaa laga yaabaa inuu tixraaco datagram hore, marka cinwaanka iyo waqtiga wicidda fashilmayaa lama mid noqon karaan baakaddii kicisay warbixinta. Socket UDP oo xiran wuxuu khaladka helaa hal mar, socket aan xirnaynna marnaba ma arki karo.

Taasi waa sababta waqtigu ugu deel qaaday caddaynta. Qor goorta khaladku muuqday, cinwaanka peer-ka ee socket-ku isticmaalay, iyo haddii tunnel-ku hadda dib u xidhnaa. Duufaan isla markiiba isbeddel dariiq ka dib waxay tilmaamaysaa shaxda maxalliga ah; khalad keliya oo daqiiqado gudahood socod deggan ka dib waxay tilmaamaysaa warbixin jid.

Kala sooc lakabyada ka hor inta aanad beddelin crypto

Saddex su'aal ayaa kala saara khaladka. Kernel-ku ma doortay dariiq diidaya meesha loo socdo? Ma doortay dariiq sax ah laakiin wuu ku guuldarraystay xallinta barta xigta? Mise warbixin ayaa ka timid meel ka shisheeya shabakadda maxalliga ah? Kaliya kiiska saddexaad ayaa ku lug yeelan kara dhinaca fog ee tunnel-ka, xitaa markaas ma ku lug yeelanayo sirta.

Dhibaatooyinka xaqiijinta iyo wada-hadalka waxay u soo baxaan khaladaad u gaar ah marka gaadiidku gaadho peer-ka. Beddelka cipher ama dib u rakibidda macmiilka ma hagaajin karo dariiq unreachable maxalli ah, waxayna baabbi'isaa caddaynta dariiqa iyo deriska ee aad u baahan lahayd sababta dhabta ah.

Qor meesha loo socdo, namespace-ka, shaxda la doortay, barta xigta, xaaladda deriska iyo waqtiga khaladka ka hor isbeddelka ugu horreeya. Dib u celi isla raadintaas hagaajinta ka dib; dariiq hadda u jeeda tunnel-ka iyo diiwaan deris hadda xallinaya ayaa caddayn ka xoog badan ping guulaystay oo cinwaan aan xiriir lahayn.