Nega traceroute VPN tunnelida bir yo'nalishda o'ladi

Bir yo'nalishda tugab, ikkinchisida yulduzchalar qatorini bosadigan traceroute chiqishi assimetrik uzatishga o'xshaydi va odatda unday emas. Har bir ko'rsatilgan sakrash zondning yetib borishini, routerning javob berishga qaror qilishini va javobning qaytib kelib zond bilan mos kelishini talab qiladi. Bu halqalardan birini uzsangiz, tunnel ma'lumot tashishda davom etganda satr yulduzchaga aylanadi.

Iz transport haqidagi dalil bo'lishidan oldin diagnostika haqidagi dalildir. So'rashga arziydigan savol uch halqadan qaysi biri muvaffaqiyatsiz bo'lgani, javob esa chiqish shaklidan emas, paketlardan keladi.

Yulduzcha — yetishmayotgan javob, yetishmayotgan sakrash emas

Traceroute har bir raundda TTL bir router uzoqroqda tugaydigan zondlar yuborib tashqariga qarab boradi. Muddati o'tgan zondni tashlab yuboradigan router o'zini nomlaydigan ICMP Time Exceeded xabarini qaytarishi kerak va asbob o'sha nomni bosadi. Asbob aslida o'sha xabar vaqt chegarasi ichida kelishini kutadi. Agar router boshqa manba manzilidan javob bersa, xatolar yaratish tezligini cheklasa yoki zondni hech narsa demay tashlab yuborsa, raund bosadigan hech narsa bermaydi.

Bu natijalardan hech biri oldingi yo'l buzilgan deb aytmaydi. Yulduzcha javobsiz xat haqidagi hisobot, bo'sh yo'l haqida emas.

Zond usuli qaysi filtrga duch kelishingizni belgilaydi

Linuxda standart usul odatda yuqori raqamli UDP manzil porti bo'ladi, Windows tracert ICMP aks-sadosini yuboradi, Linuxga esa buning o'rniga ICMP yoki TCP ishlatish buyurilishi mumkin. Ularning har biri holat saqlovchi xavfsizlik devori yoki bulut xavfsizlik guruhi uchun boshqa turdagi trafik bo'lib ko'rinadi. Bir tomondan UDP izini boshqa tomondan ICMP izi bilan solishtirish ikki xil tajribani solishtiradi. Natijalarni farq deb atashdan oldin usulni, manzillar oilasini, manba manzilni va vaqt chegarasini qatiylashtiring.

Adolatli taqqoslash uchun izni trafikni haqiqatan tashiydigan xostlardan ishga tushiring, ular nomidan yo'naltiradigan shlyuzdan emas. Router yaratgan iz uning o'z manba manzili va chiqish siyosatidan foydalanadi, ular mijoz ko'radigan har qanday narsadan qattiqroq bo'lishi mumkin. Aniq buyruqni yozib qo'ying, keyingi odam uni takrorlay olsin.

Vaqt chegarasi qiymati tajribaning ikkinchi yarmi va uni eslatmalardan tushirib qoldirish oson. Tiqilinch yo'lda ikki soniya kutish yulduzchalarni xabar qiladi, besh soniya kutish esa sakrashlarni xabar qiladigan joyda. Qiymatni barcha ishga tushirishlarda bir xil saqlang, taqqoslash tarmoq haqida qolsin.

Qaytish yo'li o'zining alohida marshruti

ICMP xatosi o'z manbasi va manziliga ega oddiy paket bo'lib, unga kuzatuvchiga qaytish yo'li kerak. Agar tunnel siyosati LAN prefikslarini tashisa, lekin xatoni keltirib chiqargan router manzilini tashimasa, xabar sizga yetib bora olmaydigan yo'ldan chiqadi. Marshrut mavjud bo'lsa ham javoblarni filtrlash uni tashlab yuborishi mumkin, chunki paket kutilmagan interfeysdagi kutilmagan manzildan keladi. Bu ilova nosozligi emas, diagnostika tekisligidagi nomuvofiqlik.

Iz tugaguncha har bir tanlagichni kengaytirish rasmni chiroyli, siyosatni yomonroq qiladi. Muayyan diagnostika manzilini tuzating yoki yulduzchani qabul qilib, ilovani boshqa yo'l bilan sinab ko'ring.

Tunnelni haqiqiy so'rov bilan tasdiqlang

Xizmatning o'z portida TCP qo'l berish muhim yo'nalishda uzatishni, qaytish marshrutlashini va filtrlashni sinaydi. Quyidagi buyruqlar ikkala uchida ishlaydi va har bir tomon nima ochishi mumkinligini solishtiradi. Xizmat porti va tunnel interfeysi nomini o'z sozlamangizdan almashtiring.

traceroute -I -n -w 2 203.0.113.40
traceroute -T -p 443 -n -w 2 203.0.113.40
curl -sS -o /dev/null -w '%{http_code} %{time_total}\n' --max-time 5 http://203.0.113.40:8080/health
ss -tan state established

Avval ikkita traceroute ishga tushirishni o'qing: agar ICMP ishga tushirish sakrashlarni ko'rsatsa, TCP ishga tushirish ko'rsatmasa, farq usulda, yo'lda emas. Keyin curl natijasini ilova darajasidagi javob sifatida oling, chunki oqilona holat kodi bilan tugagan almashinuv oldinga va qaytish yo'llari haqiqiy trafik uchun ishlashini bildiradi. Soketlar ro'yxati ulanish umuman o'rnatilganini ko'rsatadi, buni hech bir iz sizga ayta olmaydi.

Ikki yo'nalishda interaktiv sessiyani tashib, bir traceroute yulduzchalar bosadigan tunnel sog'lom va shunchaki fotogenik emas. Har bir tomonning buyruq chiqishini yozuv sifatida saqlang va yetishmayotgan sakrashlarni VPN haqida hukm emas, diagnostika haqida ochiq savol deb biling.