Kwa nini kuzuia ICMP yote huvunja njia ya VPN inayofanya kazi
Ujumbe wa mrejesho kuhusu ukubwa si majibu ya ping. Usipofika kamwe, pakiti ndogo hupita, kubwa hutoweka, na handaki huonekana kama linalotetemeka.
Handaki linalopita uthibitishaji, kubeba ping na kisha kukwama kwenye uhamishaji mkubwa wa kwanza ni ishara ya kawaida ya ujumbe wa ICMP uliopotea na si VPN iliyovunjika. Mtumaji hujifunza kamwe kuwa pakiti ilikuwa kubwa mno, hurudia ukubwa ule ule, na programu husubiri. Kurekebisha hii ni uamuzi wa sera ya firewall, si kusakinisha upya mteja. Mpangilio ni muhimu: pima mipaka ya ukubwa iko wapi, kisha punguza kanuni iliyomeza ripoti.
ICMP hubeba nini kwa kweli kwenye njia hii
Ugunduzi wa MTU ya njia ya IPv4 hutegemea kipanga njia kuripoti kwamba pakiti yenye biti ya don't-fragment haikuweza kusambazwa. Ripoti hiyo ni ujumbe wa ICMP Fragmentation Needed, na bila hiyo mtumaji hana sababu ya kupunguza ukubwa wa sehemu yake. IPv6 ni kali zaidi: vipanga njia hawagawanyi wakati wa kupitisha, kwa hiyo ujumbe wa ICMPv6 Packet Too Big ni ishara pekee inayomfanya mtumaji apungue.
Ujumbe wote wawili ni mrejesho wa ngazi ya udhibiti, na hakuna wowote ni mwangwi wa uchunguzi. Sera inayozuia ping na sera inayozuia ICMP yote zinaonekana sawa kwenye orodha ya kanuni lakini hufanya kazi tofauti sana kwenye mtandao. Ya pili inaweza kubadilisha handaki lenye ukubwa sahihi kuwa njia ya upande mmoja kwa kitu chochote kikubwa kuliko kiungo kidogo zaidi kwenye mnyororo.
Baadhi ya usafirishaji hutekeleza ugunduzi wao wenyewe kwa pakiti za uchunguzi, kama RFC 4821 inavyoeleza, na hutegemea kidogo mrejesho huu. Hii ni hoja ya kuangalia usafirishaji gani unaendesha, si kudhani kila handaki lina kinga.
| Ujumbe | Madhumuni kwenye njia | Ikizuiwa |
|---|---|---|
| ICMPv4 aina 3 msimbo 4 | Pakiti ilikuwa kubwa mno kwa kiungo kifuatacho | Mtumaji huendelea kujaribu na kukwama |
| ICMPv6 aina 2 | Packet Too Big, sawa na IPv6 | Kukwama kule kule, bila njia mbadala ya kugawanya |
| ICMP aina 11 | Muda umeisha, hutumiwa na traceroute | Uchunguzi hupoteza hatua, trafiki bado inatiririka |
| Ombi na jibu la mwangwi wa ICMP | Jaribio la ufikivu | Ping inashindwa, njia inaweza kuwa sawa |
Kushindwa hutegemea ukubwa
Uliza kama kushindwa kunahusiana na ukubwa wa pakiti. Ukurasa wa kuingia, swali la DNS na simu fupi ya API hufanikiwa, wakati upakiaji wa faili, jibu kubwa au upakuaji wa picha hukwama. Mchoro huu unaonyesha kikomo cha ukubwa mahali fulani kati ya ncha mbili, si uthibitishaji au uelekezaji. Ping ndogo iliyofanikiwa haisemi karibu chochote kuhusu kikomo hicho kiko wapi.
Ndani ya handaki kuna tabaka mbili za kuzingatia: pakiti ya mzigo na pakiti ya nje iliyofungwa. Mtumaji wa ndani anaweza kujiendesha sawa wakati njia ya nje ni ndogo kuliko handaki linavyodhani, ndiyo sababu mpangilio wa MTU wa handaki yenyewe na kiungo cha kimwili chini yake vyote ni muhimu.
Pima kabla ya kuhariri kanuni
Chunguza kwa biti ya don't-fragment na ukubwa wa mzigo unaouchagua mwenyewe, kutoka kwa mteja mwenye hitilafu kuelekea anwani iliyolindwa:
ping -M do -s 1472 10.20.5.7
ping -M do -s 1300 10.20.5.7Mzigo wa baiti 1472 pamoja na baiti 28 za vichwa ni pakiti ya baiti 1500. Ikiwa uchunguzi mkubwa unashindwa kwa hitilafu ya kugawanya na mdogo unapita, umepata kikomo; rekebisha kwa gharama ya ziada ya handaki na urudie hadi ukubwa unaofanya kazi uwe thabiti.
Kisha thibitisha kuwa pengo ni ripoti yenyewe. Ikiwa uchunguzi unashindwa kimya, bila hitilafu na bila jibu, ujumbe unawezekana unatupwa badala ya kuwasilishwa, na kanuni ndiyo inayoshukiwa.
Punguza kanuni, kisha jaribu kazi tena
Marekebisho yanapaswa kuruhusu ujumbe maalum wa udhibiti, si itifaki yote. Kwenye mwenyeji wa iptables umbo ni idhini ya aina mahususi; rekebisha sintaksia kulingana na kinachosimamia firewall kwenye jukwaa lako:
iptables -I INPUT -p icmp --icmp-type fragmentation-needed -j ACCEPT
ip6tables -I INPUT -p icmpv6 --icmpv6-type packet-too-big -j ACCEPTAcha majibu ya mwangwi yakiwa yamezuiwa ikiwa hiyo ni sera ya ndani, kwa kuwa njia haihitaji. Kisha jaribu tena uhamishaji ulioshindwa awali, kutoka muunganisho mpya, na thibitisha kuwa vihesabu vya kanuni vinaonyesha ujumbe ukifika.
Ikiwa uhamishaji mkubwa bado unakwama baada ya ujumbe kuruhusiwa, kikomo kilichobaki kiko mahali pengine: MTU ya handaki iliyowekwa juu mno, proksi inayoandika upya pakiti, au sanduku la kati linalotupa badala ya kuripoti. Kanuni ya ICMP ilikuwa ya lazima, si ya kutosha.