ICMP преусмеравања наспрам ваших VPN рута: шта се заиста мења

Ток који би требало да иде кроз тунел бира други следећи хоп, и неко пронађе ICMP преусмерење у снимку. То је хипотеза, а не дијагноза. Преусмерење је предлог рутера о бољем следећем хопу, и да ли ће домаћин поступити по њему зависи од подешавања која се разликују по платформи, по интерфејсу и по породици адреса.

Преусмерење је предлог од рутера

ICMP преусмерења IPv4 имају сопствени тип поруке и узак скуп услова: рутер прослеђује пакет кроз интерфејс на који је стигао, и зна на истој вези следећи хоп који је ближи одредишту. Затим каже пошиљаоцу да тај хоп користи директно. Порука именује нови гејтвеј и садржи део оригиналног пакета, како би пошиљалац могао да га повеже са током. То је учтива порука о локалној топологији и претпоставља да пошиљалац дели везу са предложеним гејтвејем.

Пошиљалац може да је игнорише. Протокол не захтева од домаћина да мења своју табелу, а забележено преусмерење доказује само да га је рутер послао.

Управо на тој разлици греши већина истрага преусмерења.

IPv4 и IPv6 га достављају другачије

IPv6 има аналоган механизам унутар откривања суседа, а не у ICMPv4, са другачијим форматима порука и другачијим правилима провере. Појмови се римују, пакети не. Филтер снимања написан за ICMP тип 5 неће показати ништа на IPv6 мрежи, што се понекад чита као доказ да преусмерења није било.

И параметри политике су одвојени, па домаћин може да прихвата IPv4 преусмерења и игнорише IPv6, или обрнуто.

Проверите обе породице ако ток о коме је реч може да користи било коју.

Прихватање је политика домаћина, а не чињеница мреже

На Linux-у се прихватање преусмерења контролише по интерфејсу и глобално, а подразумеване вредности се разликују између улоге домаћина и рутера. Тунелски интерфејс који прихвата преусмерења је чудан дизајн, јер у тачка-на-тачку тунелу нема смисленог алтернативног следећег хопа на истој вези. Зато ово подешавање вреди прочитати, а не претпоставити.

Подешавања безбедних преусмерења додатно ограничавају којима гејтвејима се може веровати.

Ако заоштравате домаћин, управо ове параметре треба прегледати, и они су разлог зашто се две машине на истој мрежи могу понашати различито. Мењајте их као политику, а не као пречицу за отклањање грешака.

Шта преусмерење не може да објасни

Конкретне руте, правила политичког рутирања и локални интерфејси објашњавају већину неочекиваних путева без икаквог преусмерења. Конкретнији префикс, правило које се поклапа са изворном адресом, или друга подразумевана рута у другој табели сваки од њих прегази руту коју сте очекивали. Проверите њих прво, јер су детерминистички и видљиви.

Застарели снимак је друга замка, јер клијент који је променио мрежу има други локални гејтвеј.

Старо преусмерење из претходне везе не објашњава ништа о тренутном путу, зато запишите који интерфејс сада прима контролни саобраћај.

Проверите руту пре него што оптужите тунел

Питајте језгро коју би руту користило за одредиште, затим је упоредите са табелом коју сте имали на уму. Ако одговор одговара табели, никакво преусмерење ништа није променило и истрага припада другом месту. Ако не одговара, пре него што претпоставите да је тунел крив, потражите кеширано преусмерење, правило политике или другу табелу. Провера руте је истина, а све остало је прича о томе како је тако испало.

Преусмерење никад не би требало да буде разлог да заштићени пут тихо постане незаштићен, зато политика прихватања припада прегледу дизајна. Дефиниција у RFC 792 остаје референца за то шта IPv4 порука сме да каже.

Запишите резултат провере руте и временску ознаку снимка заједно, и следећа особа ће моћи да понови ваш закључак.