Nima uchun barcha ICMPni bloklash ishlayotgan VPN yo'lini buzadi

Autentifikatsiyadan o'tib, ping tashib, keyin birinchi katta uzatishda qotib qoladigan tunnel buzilgan VPNning emas, yo'qolgan ICMP xabarining klassik belgisidir. Jo'natuvchi paket juda katta bo'lganini hech qachon bilmaydi, o'sha o'lchamni takrorlaydi va dastur kutadi. Buni tuzatish xavfsizlik devori siyosati qarori, mijozni qayta o'rnatish emas. Tartib muhim: o'lcham chegarasi qayerdaligini o'lchang, so'ng hisobotni yutib yuborgan qoidani toraytiring.

ICMP bu yo'lda aslida nima tashiydi

IPv4 yo'l MTU aniqlash don't-fragment biti o'rnatilgan paketni uzatib bo'lmaganini marshrutizator xabar berishiga tayanadi. Bu xabar ICMP Fragmentation Needed xabari bo'lib, usiz jo'natuvchining segment o'lchamini kamaytirishga sababi yo'q. IPv6 qat'iyroq: marshrutizatorlar tranzitda bo'laklamaydi, shuning uchun ICMPv6 Packet Too Big xabari jo'natuvchini kichraytiradigan yagona signaldir.

Ikkala xabar ham boshqaruv tekisligining qayta aloqasi va hech biri diagnostik aks-sado emas. pingni bloklaydigan siyosat va butun ICMPni bloklaydigan siyosat qoidalar ro'yxatida o'xshash ko'rinadi, lekin tarmoqda butunlay boshqacha tutadi. Ikkinchisi to'g'ri o'lchangan tunnelni zanjirdagi eng kichik bo'g'indan katta bo'lgan har qanday narsa uchun bir tomonlama yo'lga aylantirishi mumkin.

Ba'zi transportlar o'z aniqlashini zond paketlari bilan amalga oshiradi, RFC 4821 ta'riflaganidek, va ular bu qayta aloqaga kamroq bog'liq. Bu qaysi transportni ishlatayotganingizni tekshirish uchun dalil, har bir tunnel immun deb hisoblash uchun emas.

Nosozlik o'lchamga bog'liq

Nosozlik paket o'lchamiga bog'liqmi, so'rang. Kirish sahifasi, DNS so'rovi va qisqa API chaqiruvi o'tadi, fayl yuklash, katta javob yoki rasm yuklab olish esa qotib qoladi. Bu naqsh ikki uch orasida qayerdadir o'lcham chegarasiga ishora qiladi, autentifikatsiya yoki marshrutlashga emas. Muvaffaqiyatli kichik ping bu chegara qayerdaligi haqida deyarli hech narsa demaydi.

Tunnel ichida ikkita qatlamni hisobga olish kerak: foydali yuk paketi va tashqi inkapsulyatsiyalangan paket. Ichki jo'natuvchi to'g'ri tutishi mumkin, tashqi yo'l esa tunnel taxmin qilganidan kichik bo'lishi mumkin, shuning uchun tunnelning o'z MTU sozlamasi ham, uning ostidagi fizik bo'g'in ham muhim.

Qoidalarni tahrirlashdan oldin o'lchang

don't-fragment biti va o'zingiz tanlagan foydali yuk o'lchami bilan zondlang, nosoz mijozdan himoyalangan manzilga qarab:

ping -M do -s 1472 10.20.5.7
ping -M do -s 1300 10.20.5.7

1472 bayt foydali yuk va 28 bayt sarlavha 1500 bayt paketni tashkil qiladi. Katta zond bo'laklash xatosi bilan muvaffaqiyatsiz bo'lib, kichigi o'tsa, siz chegarani topdingiz; tunnelning qo'shimcha xarajatiga moslang va ishlaydigan o'lcham barqaror bo'lguncha takrorlang.

So'ng bo'shliq hisobotning o'zi ekanini tasdiqlang. Agar zond jimgina muvaffaqiyatsiz bo'lsa, xatosiz va javobsiz, xabar yetkazilmay, tashlab yuborilmoqda va gumondor qoidadir.

Qoidani toraytiring, so'ng vazifani qayta sinang

Tuzatish aniq boshqaruv xabarlariga ruxsat berishi kerak, butun protokolga emas. iptables xostida shakl turga xos ruxsatdir; sintaksisni platformangizda xavfsizlik devorini boshqaradigan narsaga moslang:

iptables -I INPUT -p icmp --icmp-type fragmentation-needed -j ACCEPT
ip6tables -I INPUT -p icmpv6 --icmpv6-type packet-too-big -j ACCEPT

Agar bu mahalliy siyosat bo'lsa, aks-sado javoblarini bloklangan holda qoldiring, chunki yo'lga ular kerak emas. So'ng dastlab muvaffaqiyatsiz bo'lgan uzatishni yangi ulanishdan qayta sinang va qoida hisoblagichlari xabarlar kelayotganini ko'rsatishini tasdiqlang.

Agar xabarlarga ruxsat berilgandan keyin ham katta uzatish qotib qolsa, qolgan chegara boshqa joyda: juda baland o'rnatilgan tunnel MTU, paketlarni qayta yozadigan proksi yoki xabar berish o'rniga tashlaydigan oraliq quti. ICMP qoidasi zarur edi, yetarli emas.