IPsec şlüzündən ping fərqli mənbə ünvanı istifadə edir

IPsec şlüzündən uzaq tərəfə ping göndərin, cavab almayın və tunelin xarab olduğu qənaətinə gəlin, halbuki şlüzün arxasındakı hər yük normal trafik keçirir. Bu iki nəticə bir-birinə zidd deyil. Şlüzün özündə başlayan ping lokal mənbəli paketdir və şlüz öz marşrut cədvəlindən mənbə ünvanı seçir. Bu seçim real sayt trafikinin istifadə etdiyi ünvanlardan fərqlənə bilər və bu, hansı siyasətin uyğun gəldiyini və hansı dönüş marşrutunun tətbiq olunduğunu dəyişir. Nəticədən hər hansı nəticə çıxarmazdan əvvəl testin nəyi sübut etməli olduğunu müəyyənləşdirin.

Pingin cavab verə biləcəyi üç fərqli sual

Birinci sual uzaq tərəfin ümumiyyətlə bu hostdan əlçatan olub-olmadığıdır. İkincisi tunelin selektorlarının və ya marşruta əsaslanan siyasətin müəyyən mənbədən trafiki qəbul edib-etmədiyidir. Üçüncüsü şlüzün arxasındakı yükdən yönləndirilən trafikin başdan-başa işləyib-işləmədiyidir. Bir əmr hər üçünə cavab verə bilməz və onları ayıran şey mənbə ünvanıdır.

Əvvəlcə sualı seçin. Əks halda uğursuz ping artıq ağlınızda olan hansı nəzəriyyənin lehinə sübuta çevrilir.

Şlüz niyə gözləmədiyiniz ünvanı seçir

Hər hansı təyinatı ping edərkən lokal stack ona uyğun marşrutdan mənbə seçir. Marşruta əsaslanan tuneldə bu, tunel interfeysinin link ünvanı ola bilər ki, bir çox sayt dizaynında bu, nöqtədən-nöqtəyə hop üçün seçilmiş 169.254.x.x cütüdür. Bu ünvanlar linkin işləməsi üçün mövcuddur; onlar uzaq tərəfdə tətbiq mənbəyi şəbəkələri kimi elan olunmur.

Yəni uzaq tərəf geri marşrutu olmayan və ya heç bir selektorun uyğun gəlmədiyi ünvandan əks-səda sorğusu ala bilər. Tunel sağlam ola bilər, ping isə yenə də uğursuz ola bilər və bu məhz bu məqalənin bəhs etdiyi yalançı mənfidir.

Mənbəyi qəsdən seçin

Nəzarət olunan Linux şlüzündə artıq lokal olaraq təyin edilmiş mənbə seçin: ping -c 4 -I 10.30.0.1 10.40.0.20. Buradakı ünvanlar nümunədir, ona görə şlüzün həqiqi daxili ünvanını və həqiqi uzaq təyinatı qoyun və seçdiyiniz mənbəyin bu cihaza aid olduğunu və sayt siyasəti tərəfindən qəbul edildiyini təsdiqləyin.

Test üçün yükün ünvanını borc almayın. Şlüzə təyin edilməmiş hostu təqlid etmək heç kimin təkrarlaya bilmədiyi nəticə yaradır və bəzi stack-lərdə bu, tunel nasazlığı kimi görünən şəkildə uğursuz olur.

Yalnız sorğunu deyil, cavab yolunu da oxuyun

Uzaq təyinat ünvanına həqiqətən hansı mənbənin gəldiyini, yolda hər hansı qəsdən tərcümə də daxil olmaqla yoxlayın. Sonra uzaq tərəfin həmin mənbəyə dönüş marşrutunu və ona icazə verən selektorları və ya siyasəti yoxlayın. Gözlənilməz mənbə ilə gələn sorğu kriptoqrafik deyil, marşrut və siyasət məsələsidir.

Burada həmçinin paket tutma növbəti pingdən daha çox kömək edir: uzaq tərəfin gördüyü mənbəni göstərir və cavabın çatmalı olduğu ünvan da elə həmin ünvandır.

Sonra yükü sınaqdan keçirin

Həlledici test şlüzün arxasındakı adi hostdan uzaq şlüzün arxasındakı adi hosta ping göndərməkdir. Bu, şlüzün yönləndirmə rolunu, əsl tətbiq mənbəyini və həqiqi dönüş yolunu sınayır və istifadəçilərin əhəmiyyət verdiyi axın da budur.

Nəticələri qeydlərinizdə ayrı saxlayın: şlüzün lokal əlçatanlığı, seçilmiş mənbə üçün siyasət icazəsi və yönləndirilmiş trafik. Uğurlu sabitlənmiş ping tunelin nəyisə daşıdığına dair faydalı sübutdur; hər yönləndirilmiş axının işlədiyinə sübut deyil. Və əlçatmayan avtomatik seçilmiş şlüz mənbəyi sayt tunelinin söndüyünə sübut deyil.

Sadəcə bir diaqnostik cavab almaq üçün 169.254.0.0/16 üçün ümumi marşrut əlavə etməyin. Bu, yanıltıcı testi daimi marşrut qərarı ilə dəyişir və növbəti şəxs onu kontekst olmadan miras alır.