Ping is nie ’n bewys nie: toets die pad tussen twee terreine

Die tonnel is op, die hekke antwoord mekaar, en die gebruikers by een terrein kan steeds nie die lêerdeling by die ander een oopmaak nie. Iemand ping vanaf die hek, kry ’n antwoord en verklaar die netwerk gesond. Daardie antwoord het tussen twee toestelle gereis wat nooit die probleem was nie. ’n Nuttige toets begin by die gasheer wat die diens nodig het, gebruik die protokol wat die toepassing gebruik en herhaal die toestand waaronder dit misluk. Alles anders is ’n groen lig vir ’n pad waarop niemand is nie.

Begin by die kliënt wat die diens nodig het

Skryf vier dinge neer voordat jy enigiets toets: die kliëntadres, die bestemmingsadres, die gasheernaam en die toepassingspoort. Bevestig dan dat die diens plaaslik by sy eie terrein werk, vanaf ’n gasheer langsaan. Sonder daardie basislyn kan jy nie ’n gebreekte tonnel van ’n gebreekte diens onderskei nie, en die helfte van hierdie kaartjies is die tweede een.

Probeer die gedokumenteerde gasheernaam en, waar die diens dit toelaat, ’n direkte adreskontrole van dieselfde poort. ’n Mislukte naamsoektog en ’n onbereikbare opgeloste adres stuur jou op verskillende paaie. As jy ’n IP vir ’n gasheernaam vervang, moenie die HTTPS-identiteitskontrole deaktiveer om dit te laat werk nie; ’n sertifikaatwaarskuwing is inligting, nie ’n hindernis nie.

Stap die pad by elke rand

Lees die roete wat die kliënt kies, dan die roete wat die hek vir daardie bestemming kies, dan die tellers of ’n beperkte opname by elke rand. Jy soek twee feite: het die versoek by die afgeleë LAN aangekom, en het ’n antwoord teruggekom. Koppelvlak-tellers sluit elke ander vloei in, so korreleer volgens presiese tydstempel en adrespaar eerder as volgens grafiekvorm. ’n Opname wat by die verkeerde rand geneem is, is slegter as geen, want dit lyk soos bewyse.

ip route get 10.10.0.5
sudo tcpdump -ni any host 10.10.0.5 and port 445
sudo tcpdump -ni any net 10.10.0.0/24 and net 10.20.0.0/24

As die versoek by die afgeleë rand verskyn sonder enige antwoord daarby, die probleem is aan die oorkant: ’n vuurmuur, ’n ontbrekende terugroete of ’n gasheer wat nie die bron aanvaar nie. As die versoek nooit verskyn nie, het die plaaslike roete of die tonnelkeuses dit nooit gedra nie, en die oorkant is nog nie die moeite werd om te ondersoek nie.

Gebruik die protokol wat die toepassing gebruik

ICMP is ’n swak peiling. Dit kan gefiltreer, tempo-beperk of deur ’n ander beleid as die diens hanteer word, wat beide sy sukses en sy mislukking dubbelsinnig maak. Toets die werklike poort en, waar jy kan, die werklike protokolhanddruk.

nc -vz 10.10.0.5 445
curl -sv --max-time 5 https://files.corp.internal/ -o /dev/null
openssl s_client -connect 10.10.0.5:443 -servername files.corp.internal

’n Voltooide TCP-handdruk bewys bereikbaarheid en beleid vir daardie poort. Dit bewys nie dat die toepassing werk nie: verifikasie, ’n oplaai of ’n spesifieke API-oproep kan steeds misluk. Toets die bewerking wat gebruikers werklik uitvoer, met ’n onskadelike ekwivalent eerder as om herhaaldelik ’n werklike transaksie in te dien.

Herhaal die toestand wat misluk

Mislukkings wat slegs by groot oordragte verskyn, is ’n grootteprobleem, nie ’n verbindingsprobleem nie. Stuur ’n groot pakket met die don't-fragment-bis opgestel en kyk waar dit stop. As ’n klein versoek slaag en ’n groot een hang, is die tonnel-MTU en die MSS-hantering by die hekke die volgende verdagtes.

ping -M do -s 1400 10.10.0.5
ping -M do -s 1472 10.10.0.5
curl -sS --max-time 30 -F file=@./sample.bin https://files.corp.internal/upload

As slegs een subnet misluk, kyk na verkeerskeuses, roete-advertensies en daardie subnet se terughek. As slegs die gasheernaam misluk, volg DNS, insluitend watter oplosser die kliënt gebruik het en of die afgeleë beeld van daardie terrein af sigbaar is. Drie verskillende mislukkings, drie verskillende regstellings, en die ping-toets onderskei nie een daarvan nie.

Herhaal dieselfde toets ná die regstelling

Herhardloop die identiese kliënt, bestemming, poort en loonvrag. Herverbind dan of oefen die oorskakelpad as die ontwerp een het, want ’n regstelling wat net werk terwyl die oorspronklike tonnelinstansie leef, is nie getoets nie. Hou die toets gekoppel aan ’n werklike bron, ’n werklike bestemming en ’n werklike bewerking eerder as aan een groen aanwyser op ’n paneelbord.

Teken die vier basislymwaardes en die resultaat aan. Die volgende verslag van dieselfde simptoom kan dan van bewyse eerder as van ’n ping begin.