அனைத்து ICMP-ஐயும் தடுப்பது செயல்படும் VPN பாதையை ஏன் உடைக்கிறது
அளவு குறித்த பின்னூட்டச் செய்திகள் ping-இன் பதில்கள் அல்ல. அவை ஒருபோதும் வராதபோது, சிறிய பாக்கெட்டுகள் கடந்து செல்லும், பெரியவை மறைந்துவிடும், சுரங்கப்பாதை அதிர்வதுபோல் தெரியும்.
அங்கீகாரத்தைக் கடந்து, ping-ஐ எடுத்துச் சென்று, பின்னர் முதல் பெரிய பரிமாற்றத்தில் நின்றுவிடும் சுரங்கப்பாதை உடைந்த VPN-இன் அல்ல, காணாமற்போன ICMP செய்தியின் உன்னதமான அறிகுறி. அனுப்புபவருக்கு பாக்கெட் மிகப் பெரியது என்று ஒருபோதும் தெரியாது, அதே அளவை மீண்டும் முயற்சிக்கிறார், பயன்பாடு காத்திருக்கிறது. இதைச் சரிசெய்வது ஃபயர்வால் கொள்கையின் முடிவு, கிளையண்டை மீண்டும் நிறுவுவது அல்ல. வரிசை முக்கியம்: அளவு எல்லை எங்கே உள்ளது என்பதை அளவிடுங்கள், பின்னர் அறிக்கையை விழுங்கிய விதியைக் குறுக்குங்கள்.
இந்தப் பாதையில் ICMP உண்மையில் எதை எடுத்துச் செல்கிறது
IPv4 பாதை MTU கண்டறிதல் don't-fragment பிட் கொண்ட பாக்கெட்டை அனுப்ப முடியவில்லை என்று ரவுட்டர் தெரிவிப்பதைச் சார்ந்துள்ளது. அந்த அறிக்கை ICMP Fragmentation Needed செய்தி, அது இல்லாமல் அனுப்புபவருக்கு தனது பிரிவின் அளவைக் குறைக்க காரணமில்லை. IPv6 மிகக் கடுமையானது: ரவுட்டர்கள் கடத்தலின் போது பிரிக்கவில்லை, எனவே ICMPv6 Packet Too Big செய்தியே அனுப்புபவரைச் சுருக்கும் ஒரே சமிக்ஞை.
இரண்டு செய்திகளும் கட்டுப்பாட்டு மட்டத்தின் பின்னூட்டம், எதுவும் கண்டறியும் எதிரொலி அல்ல. ping-ஐ தடுக்கும் கொள்கையும் அனைத்து ICMP-ஐயும் தடுக்கும் கொள்கையும் விதிகளின் பட்டியலில் ஒரே மாதிரி தெரியும், ஆனால் வலையமைப்பில் மிகவும் வேறுபட்டு நடக்கும். இரண்டாவது சரியாக அளவிடப்பட்ட சுரங்கப்பாதையைச் சங்கிலியின் மிகச் சிறிய இணைப்பை விடப் பெரிய எதற்கும் ஒரு வழிப் பாதையாக மாற்றும்.
சில போக்குவரத்துகள் தங்கள் கண்டறிதலை ஆய்வுப் பாக்கெட்டுகளுடன் செயல்படுத்துகின்றன, RFC 4821 விவரிப்பது போல, அவை இந்தப் பின்னூட்டத்தைக் குறைவாகச் சார்ந்துள்ளன. இது எந்தப் போக்குவரத்தை இயக்குகிறீர்கள் என்பதைச் சரிபார்க்கும் வாதம், ஒவ்வொரு சுரங்கப்பாதையும் பாதுகாப்பானது என்று கருதுவது அல்ல.
| செய்தி | பாதையில் நோக்கம் | தடுத்தால் |
|---|---|---|
| ICMPv4 வகை 3 குறியீடு 4 | அடுத்த இணைப்புக்கு பாக்கெட் மிகப் பெரியது | அனுப்புபவர் மீண்டும் முயன்று நிற்கிறார் |
| ICMPv6 வகை 2 | Packet Too Big, IPv6-இன் சமமானது | அதே நிறுத்தம், பிரித்தல் மாற்று வழி இல்லாமல் |
| ICMP வகை 11 | நேரம் கடந்தது, traceroute பயன்படுத்துகிறது | கண்டறிதல் ஹாப்களை இழக்கிறது, போக்குவரத்து தொடர்கிறது |
| ICMP எதிரொலிக் கோரிக்கை மற்றும் பதில் | அடையக்கூடிய தன்மை சோதனை | ping தோல்வியடைகிறது, பாதை சரியாக இருக்கலாம் |
தோல்வி அளவைப் பொறுத்தது
தோல்வி பாக்கெட்டின் அளவுடன் தொடர்புடையதா என்று கேளுங்கள். உள்நுழைவுப் பக்கம், DNS வினவல் மற்றும் குறுகிய API அழைப்பு வெற்றிபெறுகின்றன, அதேநேரம் கோப்புப் பதிவேற்றம், பெரிய பதில் அல்லது படப் பதிவிறக்கம் நிற்கிறது. இந்த முறை இரண்டு முனைகளுக்கு இடையே எங்கோ அளவு வரம்பைச் சுட்டுகிறது, அங்கீகாரம் அல்லது வழித்தடத்தை அல்ல. வெற்றிகரமான சிறிய ping அந்த எல்லை எங்கே உள்ளது என்பதைப் பற்றி கிட்டத்தட்ட எதுவும் சொல்லவில்லை.
சுரங்கப்பாதையின் உள்ளே இரண்டு அடுக்குகள் கருதப்பட வேண்டும்: பேலோட் பாக்கெட்டும் வெளிப்புற என்கேப்சுலேட்டட் பாக்கெட்டும். சுரங்கப்பாதை கருதுவதை விட வெளிப்புறப் பாதை சிறியதாக இருக்கும்போதும் உட்புற அனுப்புபவர் சரியாக நடக்கலாம், அதனால் சுரங்கப்பாதையின் சொந்த MTU அமைப்பும் அதன் கீழுள்ள இயற்பியல் இணைப்பும் இரண்டும் முக்கியம்.
விதிகளைத் திருத்தும் முன் அளவிடுங்கள்
don't-fragment பிட்டும் நீங்கள் தேர்ந்தெடுக்கும் பேலோட் அளவும் கொண்டு ஆய்வு செய்யுங்கள், தோல்வியடைந்த கிளையண்டிலிருந்து பாதுகாக்கப்பட்ட முகவரி நோக்கி:
ping -M do -s 1472 10.20.5.7
ping -M do -s 1300 10.20.5.71472 பைட் பேலோடும் 28 பைட் தலைப்புகளும் சேர்ந்து 1500 பைட் பாக்கெட்டாகும். பெரிய ஆய்வு பிரித்தல் பிழையுடன் தோல்வியடைந்து சிறியது கடந்தால், நீங்கள் எல்லையைக் கண்டுபிடித்தீர்கள்; சுரங்கப்பாதையின் கூடுதல் சுமைக்கு சரிசெய்து, செயல்படும் அளவு நிலையாகும் வரை மீண்டும் செய்யுங்கள்.
பின்னர் இடைவெளி அறிக்கையே என்று உறுதிப்படுத்துங்கள். ஆய்வு பிழையும் பதிலும் இல்லாமல் அமைதியாகத் தோல்வியடைந்தால், செய்தி வழங்கப்படாமல் நிராகரிக்கப்படுகிறது, சந்தேகத்திற்குரியது விதியே.
விதியைக் குறுக்கி, பின்னர் பணியை மீண்டும் சோதியுங்கள்
திருத்தம் குறிப்பிட்ட கட்டுப்பாட்டுச் செய்திகளை அனுமதிக்க வேண்டும், முழு நெறிமுறையையும் அல்ல. iptables ஹோஸ்ட்டில் வடிவம் வகை-குறிப்பிட்ட அனுமதி; உங்கள் தளத்தில் ஃபயர்வாலை நிர்வகிப்பதற்கு ஏற்ப தொடரியலை மாற்றுங்கள்:
iptables -I INPUT -p icmp --icmp-type fragmentation-needed -j ACCEPT
ip6tables -I INPUT -p icmpv6 --icmpv6-type packet-too-big -j ACCEPTஅது உள்ளூர் கொள்கையாக இருந்தால் எதிரொலிப் பதில்களைத் தடுக்கப்பட்டே வைத்திருங்கள், ஏனெனில் பாதைக்கு அவை தேவையில்லை. பின்னர் முதலில் தோல்வியடைந்த பரிமாற்றத்தைப் புதிய இணைப்பிலிருந்து மீண்டும் சோதித்து, விதியின் கவுண்டர்கள் செய்திகள் வருவதைக் காட்டுவதை உறுதிப்படுத்துங்கள்.
செய்திகள் அனுமதிக்கப்பட்ட பிறகும் பெரிய பரிமாற்றம் நின்றால், மீதமுள்ள வரம்பு வேறெங்கோ உள்ளது: மிக உயரமாக அமைக்கப்பட்ட சுரங்கப்பாதை MTU, பாக்கெட்டுகளை மீண்டும் எழுதும் ப்ராக்ஸி, அல்லது தெரிவிக்காமல் நிராகரிக்கும் இடைநிலைப் பெட்டி. ICMP விதி அவசியமானது, போதுமானதல்ல.