البنغ من بوابة IPsec يستخدم عنوان مصدر مختلفًا

تُرسل بينغ من بوابة IPsec إلى الجهة الأخرى فلا يصلك رد، فتستنتج أن النفق معطوب، بينما كل الأحمال خلف البوابة تمرر حركة طبيعية. النتيجتان لا تتناقضان. البينغ الذي يبدأ على البوابة حزمة مصدرها محلي، والبوابة تختار عنوان مصدر من جدول التوجيه الخاص بها. قد يختلف هذا الاختيار عن العناوين التي تستخدمها حركة الموقع الحقيقية، وهذا يغيّر السياسة التي تطابق ومسار العودة الذي ينطبق. حدد ما يُراد إثباته من الاختبار قبل أن تقرأ أي شيء في نتيجته.

ثلاثة أسئلة مختلفة يجيب عنها البينغ

السؤال الأول هو ما إذا كانت الجهة البعيدة قابلة للوصول أصلًا من هذا المضيف. والثاني هو ما إذا كانت محددات النفق أو السياسة القائمة على المسار تسمح بحركة من مصدر معين. والثالث هو ما إذا كانت الحركة المُمرَّرة من حمل خلف البوابة تعمل من طرف إلى طرف. أمر واحد لا يجيب عن الثلاثة، وعنوان المصدر هو ما يفصل بينها.

اختر السؤال أولًا. وإلا صار البينغ الفاشل دليلًا على أي نظرية كانت لديك.

لماذا تختار البوابة عنوانًا لا تتوقعه

حين تُرسل بينغ إلى وجهة، تختار الحزمة المحلية مصدرًا من المسار المطابق لها. في نفق قائم على المسار قد يكون ذلك عنوان الوصلة لواجهة النفق، وهو في كثير من تصاميم المواقع زوج 169.254.x.x اختير للقفزة نقطة بنقطة. هذه العناوين موجودة لتعمل الوصلة؛ ولا تُعلن كشبكات مصدر للتطبيقات على الجهة الأخرى.

لذلك قد تستقبل الجهة البعيدة طلب صدى من عنوان لا مسار عودة لها إليه، أو لا يطابقه أي محدد. قد يكون النفق سليمًا ويظل البينغ فاشلًا، وهذا بالضبط السلب الزائف الذي يتناوله هذا المقال.

اختر المصدر عن قصد

على بوابة Linux مُدارة، اختر مصدرًا مُعيَّنًا محليًا بالفعل: ping -c 4 -I 10.30.0.1 10.40.0.20. العناوين هنا توضيحية، فاستبدل عنوان البوابة الداخلي الحقيقي ووجهة بعيدة حقيقية، وتأكد من أن المصدر الذي تختاره يخص هذا الجهاز وتقبله سياسة الموقع.

لا تستعر عنوان حمل للاختبار. انتحال مضيف غير مُعيَّن للبوابة يُنشئ نتيجة لا يمكن لأحد إعادتها، وعلى بعض الأنظمة يفشل بطرق تشبه عطلًا في النفق.

اقرأ مسار الرد، لا الطلب فقط

تحقق من المصدر الذي يصل فعليًا إلى الوجهة البعيدة، بما في ذلك أي ترجمة مقصودة على الطريق. ثم تحقق من مسار عودة الجهة البعيدة إلى ذلك المصدر ومن المحددات أو السياسة التي تسمح به. طلب يصل بمصدر غير متوقع هو مسألة توجيه وسياسة، لا مسألة تشفير.

وهنا أيضًا يساعد التقاط الحزم أكثر من بينغ آخر: يبيّن المصدر الذي رأته الجهة البعيدة، وهو العنوان الذي يجب أن يصل إليه ردها.

ثم اختبر الحمل

الاختبار الحاسم هو بينغ من مضيف عادي خلف البوابة إلى مضيف عادي خلف البوابة البعيدة. ذلك يمارس دور البوابة في التمرير ومصدر التطبيق الحقيقي ومسار العودة الحقيقي، وهو التدفق الذي يهم المستخدمين.

أبقِ النتائج منفصلة في ملاحظاتك: الوصول المحلي من البوابة، وسماح السياسة بمصدر مختار، والحركة المُمرَّرة. بينغ مثبَّت ناجح دليل مفيد على أن النفق يحمل شيئًا؛ وليس دليلًا على أن كل تدفق مُمرَّر يعمل. ومصدر بوابة مُختار تلقائيًا يتعذر الوصول إليه ليس دليلًا على أن نفق الموقع معطل.

لا تُضف مسارًا شاملًا لـ 169.254.0.0/16 لمجرد الحصول على إجابة تشخيصية واحدة. فذلك يقايض اختبارًا مضللًا بقرار توجيه دائم، ويرثه الشخص التالي دون السياق.