「サイトを見る前にサイトの情報を得るサービス」記事へのコメント

traceroute

[IRCBOT (32650)]

これの traceroute 機能 で iptables で TCP ポート80 のみ accept して 残りを drop している Webサーバ を調べてみたら、見事に目的地(サーバのIPアドレス) までの調査ができちゃいました。
Windows の tracert や Linux の traceroute コマンドでは、Webサーバでパケットが廃棄されるせいか、目的地(サーバのIPアドレス) の結果が表示されないんですが、これはどういう仕組みになってるんでしょうか。
ちょっくら気になります。

Re:traceroute

[fcp (32783)]

iptables の設定はわからないので、それ以外の部分に関するコメントです。問題のウェブサーバーをどのように設定しても、 1 hop 前までが正しく ICMP Time Exceeded を返すなら、 traceroute で経路がわかると思いますが……そういう問題ではないのでしょうか。

それ以外の原因で traceroute では経路が表示されないのにこのウェブサービスでは経路が表示されるとしたら、経路を調べる方法はいくつかあるので、方法の違いが関係しているかもしれません。 traceroute のオプションでもいろいろ設定できると思います。

Re:traceroute

[IRCBOT (32650)]

ご教示いただきましてありがとうございます。

1 hop 前までは ICMP Time Exceeded を返すはずなのですが、最終地点 (59-106-**-**.r-bl100.sakura.ne.jp) は、TCP 80 及び 確立したセッションに関係するパケット以外は拒否する設定になっているはずです。

aguse.net での traceroute は次のようになっていました。

1  192.168.248.1  0.989 ms  0.419 ms  0.463 ms
  2  Tok1BFL1.vectant.ne.jp (163.139.127.23)  2.593 ms  2.756 ms  2.551 ms
  3  163-139-127-30.rv.vectant.ne.jp (163.139.1

Re:traceroute

[fcp (32783)]

なるほど。だとしたら、ウェブサーバー限定のサービスであることを考えると、 ICMP Echo や UDP の代わりに TCP 80 番ポートへの SYN パケットを使ってプローブしているのでしょう。この場合、最終地点が返すのはたぶん ICMP ではなく TCP 80 からの SYN+ACK になると思います (TTL ぴったりのときは ICMP Time Exceeded エラーにならずに正しく受け取られると思って書いていますが、自信はありません……)。

Re:traceroute

[Anonymous Coward]

回答ありがとうございます。
それなら、TCP 80 のみを許可する設定であっても、応答時間の測定が可能ですね。
納得しました。