Bakit namamatay ang traceroute sa isang direksyon sa isang VPN tunnel

Ang output ng traceroute na natatapos sa isang direksyon at naglilimbag ng mga hilera ng bituin sa kabilang direksyon ay mukhang asimetrikong pagpapasa, at karaniwang hindi iyon. Bawat ipinakitang hop ay nangangailangan na dumating ang probe, magpasya ang router na sumagot at bumalik ang sagot at itugma sa probe. Putulin ang alinman sa mga kawing na iyon at ang hilera ay nagiging bituin habang patuloy na nagdadala ng data ang tunnel.

Ang trace ay ebidensya tungkol sa diagnosis bago ito ebidensya tungkol sa transportasyon. Ang tanong na sulit itanong ay alin sa tatlong kawing ang nabigo, at ang sagot ay nagmumula sa mga packet, hindi sa hugis ng output.

Ang bituin ay nawawalang sagot, hindi nawawalang hop

Umuusad ang traceroute palabas sa pamamagitan ng pagpapadala ng mga probe na ang TTL ay nag-expire isang router na mas malayo sa bawat pag-ikot. Ang router na nagtatapon ng expired na probe ay dapat magbalik ng ICMP Time Exceeded na mensaheng nagpapangalan sa sarili nito, at inililimbag ng tool ang pangalang iyon. Ang talagang hinihintay ng tool ay ang mensaheng iyon ay dumating sa loob ng timeout. Kung ang router ay sumagot mula sa ibang source address, nililimitahan ang dalas ng pagbuo ng mga error o itinatapon ang probe nang walang salita, walang maililimbag ang pag-ikot.

Wala sa mga resultang ito ang nagsasabing sira ang pasulong na landas. Ang bituin ay ulat tungkol sa sulat na walang sagot, hindi tungkol sa walang laman na daan.

Ang paraan ng probe ang nagpapasya kung aling filter ang makakaharap mo

Ang default na paraan sa Linux ay karaniwang isang UDP destination port na may mataas na numero, ang tracert sa Windows ay nagpapadala ng ICMP echo, at ang Linux ay maaaring utusan na gumamit ng ICMP o TCP sa halip. Ang bawat isa ay mukhang ibang uri ng trapiko sa isang stateful firewall o isang cloud security group. Ang paghahambing ng UDP trace mula sa isang panig sa ICMP trace mula sa kabilang panig ay naghahambing ng dalawang magkaibang eksperimento. I-lock ang paraan, ang pamilya ng address, ang source address at ang timeout bago mo tawaging pagkakaiba ang mga resulta.

Para sa patas na paghahambing, patakbuhin ang trace mula sa mga host na talagang nagdadala ng trapiko, hindi mula sa isang gateway na nagpapasa sa ngalan nila. Ang trace na nilikha ng router ay gumagamit ng sariling source address at output policy nito, na maaaring mas mahigpit kaysa sa anumang nakikita ng kliyente. Itala ang eksaktong utos upang maulit ito ng susunod na tao.

Ang halaga ng timeout ay ang kabilang kalahati ng eksperimento, at madaling iwan ito sa mga tala. Ang dalawang segundong paghihintay sa isang masikip na landas ay nag-uulat ng mga bituin kung saan ang limang segundong paghihintay ay nag-uulat ng mga hop. Panatilihing magkapareho ang halaga sa lahat ng pagtakbo upang manatiling tungkol sa network ang paghahambing.

Ang daan ng pagbabalik ay sarili nitong ruta

Ang ICMP error ay isang ordinaryong packet na may sariling source at destination, at kailangan nito ng rutang pabalik sa tracer. Kung ang patakaran ng tunnel ay nagdadala ng LAN prefixes pero hindi ang router address na gumawa ng error, ang mensahe ay lumalabas sa landas na hindi ka maaabot. Maaaring itapon ito ng pag-filter ng mga sagot kahit may ruta, dahil ang packet ay dumarating mula sa hindi inaasahang address sa hindi inaasahang interface. Ito ay hindi pagkakatugma sa antas ng diagnosis, hindi pagkabigo ng application.

Ang pagpapalawak ng bawat selector hanggang matapos ang trace ay gumaganda ang larawan at lumalala ang patakaran. Ayusin ang partikular na diagnostic address, o tanggapin ang bituin at subukan ang application sa ibang paraan.

Kumpirmahin ang tunnel sa isang tunay na kahilingan

Ang TCP handshake sa sariling port ng serbisyo ay nag-eehersisyo ng pagpapasa, pag-routing pabalik at pag-filter sa direksyong mahalaga. Ang mga utos sa ibaba ay tumatakbo sa magkabilang dulo at inihahambing kung ano ang kayang buksan ng bawat panig. Palitan ang service port at ang pangalan ng tunnel interface mula sa sarili mong setup.

traceroute -I -n -w 2 203.0.113.40
traceroute -T -p 443 -n -w 2 203.0.113.40
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' --max-time 5 http://203.0.113.40:8080/health
ss -tan state established

Basahin muna ang dalawang pagtakbo ng traceroute: kung ang ICMP na pagtakbo ay nagpapakita ng mga hop at ang TCP na pagtakbo ay hindi, ang pagkakaiba ay sa paraan, hindi sa landas. Pagkatapos ay kunin ang resulta ng curl bilang sagot sa antas ng application, dahil ang natapos na pagpapalitan na may makatwirang status code ay nangangahulugang gumagana ang pasulong at pabalik na landas para sa tunay na trapiko. Ipinapakita ng listahan ng socket kung naitatag ang koneksyon, na hindi masasabi ng anumang trace.

Ang tunnel na nagdadala ng interactive na sesyon sa dalawang direksyon habang isang traceroute ay naglilimbag ng mga bituin ay malusog at hindi lang kaaya-aya sa larawan. Itabi ang output ng mga utos mula sa bawat panig bilang talaan, at ituring ang nawawalang mga hop na bukas na tanong tungkol sa diagnosis, hindi hatol tungkol sa VPN.