загадка для системных администраторов

[dil]

Как вы думаете, что означают последние две строчки?

$ tcptraceroute -n 79.97.x.y 1433
Selected device eth0, address *.*.*.*, port 37489 for outgoing packets
Tracing the path to 79.97.x.y on TCP port 1433 (ms-sql-s), 30 hops max
...
10  213.46.165.74  31.945 ms  31.881 ms  32.017 ms
11  89.101.162.153  32.668 ms  32.728 ms  32.175 ms
12  79.97.x.y  40.284 ms  38.450 ms  39.984 ms
13  79.97.x.y [closed]  37.831 ms  39.678 ms  38.020 ms

IP-адреса в них одинаковые.

Comments

[dil.livejournal.com]

близко, но на самом деле, ещё проще :)

[ru-toor.livejournal.com]

firewall?
port-knock?
не-винда?

[dil.livejournal.com]

-нет
-нет
-да

[ru-toor.livejournal.com]

Может быть тогда роутер в коробочке?

[dil.livejournal.com]

ну да, роутер. а почему один хост отзывается два раза и по-разному?

[ru-toor.livejournal.com]

Что то мутное.
В строчке
12 79.97.x.y 40.284 ms 38.450 ms 39.984 ms
что означает IP адрес? Наверное адрес, с которого пришёл RST (или FIN или чё там должно быть не знаю) пакет.
Но traceroute (классический, наверное tcptraceroute так же делает) долбится к назначенцу по списку с ttl++ пока не придёт.
И кстати, что значит надпись [closed] в 13 строке? Ответа не получено?
В общем я не знаю что это такое.

[dil.livejournal.com]

IP-адрес - это тот, с которого ответ пришёл.
tcptraceroute по умолчнаию посылает TCP SYN. ответом может быть ICMP time exceeded, ICMP port/host/protocol unreachable, либо TCP ACK, если порт открыт, либо TCP RST, если закрыт.
в данном случае в предпоследней строке - ICMP time exceeded, в последней - TCP RST.

[ru-toor.livejournal.com]

Но почему в 13 строке RST приходит ответ с того же IP-адреса, что и в 12-ой пришул ICMP time exceeded?

[dil.livejournal.com]

вот в этом и вопрос :)

[lazylonelion.livejournal.com]

мож потому что "маленькая коробочка" ТТЛ не уменьшает?

[dil.livejournal.com]

тогда почему строчки получилось две?

[lazylonelion.livejournal.com]

ну и плюс НАТ, конечно.

[dil.livejournal.com]

ага :)
точнее говоря, порт-форвардинг.
в первый раз коробочка обнаружила, что ttl кончился, и ответила сама. во второй - прослала внутрь сети и ответила внутренняя машина. а адрес её замаскарадился, потому он и одинаковый.

[lazylonelion.livejournal.com]

именно

[bsv9.livejournal.com]

Кстати ещё может быть прикол с alias'ами на интерфейсах. traceroute показывает ip с которого уходит пакет, а не к которому приходит.

[dil.livejournal.com]

так вопрос в том, почему две строчки с одинаковым IP. в случае с алиасом адреса были бы разные или только один