VPN orqali ping: nima uchun aks-sado javobi qoidalari qaytish yo’lini o’tkazib yuboradi

VPN orqali xostga ping yuboring: so’rov bir ICMP turi bilan chiqadi va boshqasi bilan qaytadi, bu esa portlar nuqtai nazaridan yozilgan har qanday qoidani chalkashtirish uchun yetarli. Aks-sado almashinuvida qaytish qoidasiga ko’chiriladigan maqsad xizmat porti yo’q, simmetriya kutayotgan filtr esa so’rov to’siqsiz o’tib ketayotganda javobni tashlab yuboradi. Tuzatish paketni qanday bo’lsa shundayligicha o’qishdan, so’ngra yo’lda qaysi chegara qaror qabul qilayotganini aniqlashdan boshlanadi. Odatda ikki qatlam ishlaydi, uchinchisi esa javobni jimgina tashlab yuboradi. Quyidagi bo’limlar ularni paket uchrash tartibida ajratadi.

Paket portni emas, turni o’zgartiradi

Aks-sado so’rovi ICMP 8-turi, 0-kodi bo’lib, identifikator va tartib raqamini olib yuradi. Javob 0-tur, 0-kod, xuddi shu identifikator va tartib bilan, IP uchlari esa almashtirilgan. Bu maydonlarni RFC 792 belgilaydi va aynan identifikator jo’natuvchiga javoblarni o’z so’rovlari bilan moslashtirish imkonini beradi.

Yo’q narsa ham shunchalik muhim: TCP yoki UDP sarlavhasi yo’q, demak ruxsat beriladigan port ham yo’q. Aks-sado javobi uchun port nomlaydigan qoida hech qachon bo’lmaydigan paketni tasvirlaydi. Bu VPN ping chiptalaridagi eng keng tarqalgan xato. Qoida aniq ko’rinadi, hech narsaga taalluqli emas va nosozlikni aynan qayerda bo’lsa shu yerda qoldiradi.

Paketni uchta kontekst hal qiladi

Agar ping uzoqdagi LAN xostini nishonga olsa, so’rovni shlyuz yo’naltirishi kerak. Agar u shlyuzning o’ziga tegishli manzilni nishonga olsa, u mahalliy kirish yo’lida tugaydi. Agar pingni shlyuz o’zi boshlasa, paket o’zining chiqish yo’lida boshlanadi va yo’naltirish qaroridan umuman o’tmaydi.

Bu uch kontekstning qoidalar zanjirlari va hisoblagichlari turlicha, ularni bitta deb qabul qilish esa «xavfsizlik devori ICMP ga ruxsat beradi» deyilsa ham ping muvaffaqiyatsiz bo’lishining sababidir. Tashqi tunnel to’rtinchi kontekst: VPN tinglovchisiga ruxsat berish dekapsulyatsiya qilingan ichki so’rovga avtomatik ruxsat bermaydi, ichki ruxsat esa tashqi tunnel ishlayotgani haqida hech narsa demaydi.

Holatli va holatsiz filtrlar javobni turlicha boshqaradi

So’rovning chiqayotganini ko’rgan holatli xavfsizlik devori javobni shu oqimga bog’lab, ikkinchi qoidasiz o’tkazishi mumkin. Holatsiz filtrda bunday xotira yo’q, shuning uchun qaytish yo’nalishiga o’zining aniq ruxsati kerak, manba va manzil almashtirilgan holda.

Biror narsa yozishdan oldin mahsulot aslida qaysi modelni qo’llashini tekshiring. Aks-sado so’rovi uchun qoida aks-sado javobini albatta qamrab olmaydi, ICMP so’rovlarini kuzatuvchi mahsulot esa boshqa interfeysga kelgan javoblarga boshqa siyosat qo’llashi mumkin.

Ruxsat beradigan narsangiz doirasini cheklang. Har qanday joydan har bir aks-sado javobiga ruxsat berish holatli bog’lanishni tugatish bilan bir xil emas, tur raqami esa jo’natuvchini tasdiqlamaydi.

Tarjima identifikatorni ham o’zgartiradi

Agar manba tarjimasi ataylab qilingan bo’lsa, uzoq uchidagi kortej klient yuborganiga mos kelmaydi. NAT ICMP so’rovi identifikatorini manzillar bilan birga tarjima qilishi mumkin, shuning uchun ikkala tomonda bir xil raqam ko’rinishi kerakligi haqidagi talab yolg’on nomuvofiqlik tug’diradi.

Buning o’rniga tarjimon xabar beradigan xaritalash bilan bog’lang. Identifikatorni qayta yozadigan tarjimon kliyentingiz yozib olgan raqamni saqlamaydi, shuning uchun raqamni emas, xaritalashni o’ziga xoslik deb biling. So’ngra bitta aniqlanadigan so’rovni yo’l bo’ylab kuzatib boring: u kutilgan manba bilan manzilga yetib borishini tasdiqlang, manzil javob chiqarganini tasdiqlang, o’sha javobning qaytish marshrutini kuzatib boring, va klient uni olganini tasdiqlang, shunchaki shlyuz hisoblagichi oshayotganini kuzatish bilan cheklanmang.

ICMP xatolarini aks-sado siyosatiga qo’shmang

Yo’l MTU aniqlash ishlatadigan «bo’laklash kerak» xabari aks-sado javobi emas va uning foydali yuki uni keltirib chiqargan paketni keltiradi. Faqat aks-sadoga ruxsat beruvchi qoida o’sha xatolarni jimgina tashlab yuborsa, o’lcham muammosini osilib qolgan ulanishga aylantiradi, bu esa foydali bo’lishning aksi.

Xuddi shu ehtiyot manzillar oilalariga ham tegishli. ICMPv6 boshqa xabar turlarini ishlatadi va IPv4 da bo’lmagan muhim funksiyalarni olib yuradi, shuning uchun bu raqamlarni IPv6 qoidasiga ko’chirish shunchaki xato.

Aks-sado almashinuvi ishlaganda haqiqiy ilovani alohida sinab ko’ring. Muvaffaqiyatli ping bitta protokolning bir o’lchamda bitta manzilgacha borib-qaytishini isbotlaydi va HTTPS, SMB yoki boshqa har qanday oqim ruxsat etilgan deb taxmin qilish uchun litsenziya emas.