「サイトを見る前にサイトの情報を得るサービス」記事へのコメント

traceroute

[IRCBOT (32650)]

これの traceroute 機能 で iptables で TCP ポート80 のみ accept して 残りを drop している Webサーバ を調べてみたら、見事に目的地(サーバのIPアドレス) までの調査ができちゃいました。
Windows の tracert や Linux の traceroute コマンドでは、Webサーバでパケットが廃棄されるせいか、目的地(サーバのIPアドレス) の結果が表示されないんですが、これはどういう仕組みになってるんでしょうか。
ちょっくら気になります。

Re:traceroute

[IRCBOT (32650)]

正確には次のような設定にしています。

iptables -P INPUT ACCEPT
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -F
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -P INPUT DROP

もし宜しければ、ご教示お願いします。

Re:traceroute

[fcp (32783)]

iptables の設定はわからないので、それ以外の部分に関するコメントです。問題のウェブサーバーをどのように設定しても、 1 hop 前までが正しく ICMP Time Exceeded を返すなら、 traceroute で経路がわかると思いますが……そういう問題ではないのでしょうか。

それ以外の原因で traceroute では経路が表示されないのにこのウェブサービスでは経路が表示されるとしたら、経路を調べる方法はいくつかあるので、方法の違いが関係しているかもしれません。 traceroute のオプションでもいろいろ設定できると思います。

Re:traceroute

[IRCBOT (32650)]

ご教示いただきましてありがとうございます。

1 hop 前までは ICMP Time Exceeded を返すはずなのですが、最終地点 (59-106-**-**.r-bl100.sakura.ne.jp) は、TCP 80 及び 確立したセッションに関係するパケット以外は拒否する設定になっているはずです。

aguse.net での traceroute は次のようになっていました。

1  192.168.248.1  0.989 ms  0.419 ms  0.463 ms
  2  Tok1BFL1.vectant.ne.jp (163.139.127.23)  2.593 ms  2.756 ms  2.551 ms
  3  163-139-127-30.rv.vectant.ne.jp (163.139.127.30)  3.212 ms  3.376 ms  3.336 ms
  4  163-139-127-***.rv.vectant.ne.jp (163.139.127.***)  3.392 ms  3.638 ms  3.211 ms
  5  ae*.peer3.nihonbashi.vectant.ne.jp (163.139.128.***)  4.168 ms  3.491 ms  4.023 ms
  6  tkgrt**-gsk.bb.sakura.ad.jp (210.188.225.***)  5.535 ms  5.201 ms  5.567 ms
  7  tkgrt**-grt**-**g.bb.sakura.ad.jp (202.181.110.***)  5.469 ms  5.246 ms  6.142 ms
  8  tkgrt**-grt**.bb.sakura.ad.jp (202.181.110.***)  4.346 ms  3.457 ms  4.301 ms
  9  59-106-**-**.r-bl100.sakura.ne.jp (59.106.***.***) [open]  3.154 ms  3.746 ms  3.956 ms

最終地点が ICMP Time Exceeded を返さないはずなのに、時間 (ms) まで表示されるのは何故かな、と思って質問させていただきました。

Re:traceroute

[fcp (32783)]

なるほど。だとしたら、ウェブサーバー限定のサービスであることを考えると、 ICMP Echo や UDP の代わりに TCP 80 番ポートへの SYN パケットを使ってプローブしているのでしょう。この場合、最終地点が返すのはたぶん ICMP ではなく TCP 80 からの SYN+ACK になると思います (TTL ぴったりのときは ICMP Time Exceeded エラーにならずに正しく受け取られると思って書いていますが、自信はありません……)。

Re:traceroute

[Anonymous Coward]

回答ありがとうございます。
それなら、TCP 80 のみを許可する設定であっても、応答時間の測定が可能ですね。
納得しました。