Ping sübut deyil: iki sayt arasındakı yolu yoxlayın

Tunel işləyir, şlüzlər bir-birinə cavab verir, amma bir saytdakı istifadəçilər digər saytdakı fayl paylaşımını hələ də aça bilmir. Biri şlüzdən ping göndərir, cavab alır və şəbəkənin sağlam olduğunu elan edir. Həmin cavab heç vaxt problem olmayan iki cihaz arasında səyahət edib. Faydalı test xidmətə ehtiyacı olan hostdan başlayır, tətbiqin istifadə etdiyi protokoldan istifadə edir və uğursuzluğun baş verdiyi şəraiti təkrar yaradır. Qalan hər şey heç kimin getmədiyi bir yol üçün yaşıl işıqdır.

Xidmətə ehtiyacı olan müştəridən başlayın

Hər hansı testdən əvvəl dörd şeyi yazın: müştəri ünvanı, təyinat ünvanı, host adı və tətbiq portu. Sonra xidmətin öz saytında, onun yanındakı hostdan yerli olaraq işlədiyini təsdiqləyin. Bu başlanğıc olmadan pozulmuş tuneli pozulmuş xidmətdən ayıra bilməzsiniz və bu biletlərin yarısı ikincisidir.

Sənədləşdirilmiş host adını və xidmətin icazə verdiyi yerlərdə eyni portun birbaşa ünvan yoxlamasını sınayın. Uğursuz ad axtarışı və əldə edilmiş ünvana çatmamaq sizi fərqli yollara aparır. Host adı yerinə IP qoysanız, işləməsi üçün HTTPS şəxsiyyət yoxlamasını söndürməyin; sertifikat xəbərdarlığı məlumatdır, maneə deyil.

Hər kənarda yolu keçin

Müştərinin seçdiyi marşrutu, sonra şlüzün həmin təyinat üçün seçdiyi marşrutu, sonra hər kənardakı sayğacları və ya məhdud çəkilişi oxuyun. Siz iki fakt axtarırsınız: sorğu uzaq LAN-a çatdımı və cavab geri gəldimi. İnterfeys sayğacları bütün digər axınları əhatə edir, ona görə qrafik formasına görə deyil, dəqiq vaxt möhürü və ünvan cütünə görə uyğunlaşdırın. Səhv kənarda alınan çəkiliş heç olmamasından pisdir, çünki sübut kimi görünür.

ip route get 10.10.0.5
sudo tcpdump -ni any host 10.10.0.5 and port 445
sudo tcpdump -ni any net 10.10.0.0/24 and net 10.20.0.0/24

Sorğu uzaq kənarda heç bir cavab olmadan görünürsə, problem qarşı tərəfdədir: güvəndlik divarı, itkin qayıdış marşrutu və ya mənbəni qəbul etməyən host. Sorğu heç vaxt görünmürsə, yerli marşrut və ya tunel seçiciləri onu daşımadı və qarşı tərəfi araşdırmağa hələ dəyməz.

Tətbiqin istifadə etdiyi protokoldan istifadə edin

ICMP zəif bir zonddur. O, filtrlənə, sürət məhdudiyyətinə salına və ya xidmətdən fərqli siyasətlə idarə oluna bilər, bu da onun həm uğurunu, həm də uğursuzluğunu qeyri-müəyyən edir. Faktiki portu və mümkün olduqda faktiki protokol əl sıxışmasını sınayın.

nc -vz 10.10.0.5 445
curl -sv --max-time 5 https://files.corp.internal/ -o /dev/null
openssl s_client -connect 10.10.0.5:443 -servername files.corp.internal

Tamamlanmış TCP əl sıxışması həmin port üçün çatılabilirliyi və siyasəti sübut edir. Tətbiqin işlədiyini sübut etmir: autentifikasiya, yükləmə və ya müəyyən API çağırışı hələ də uğursuz ola bilər. İstifadəçilərin həqiqətən etdiyi əməliyyatı, real əməliyyatı dəfələrlə təqdim etmək yerinə zərərsiz ekvivalentlə sınayın.

Uğursuz olan şəraiti təkrar yaradın

Yalnız böyük ötürmələrdə görünən uğursuzluqlar ölçü problemidir, bağlantı problemi deyil. don't-fragment biti qurulmuş böyük paket göndərin və harada dayandığını izləyin. Kiçik sorğu uğur qazanır, böyük olan isə asılırsa, tunel MTU və şlüzlərdəki MSS idarəsi növbəti şübhəlilərdir.

ping -M do -s 1400 10.10.0.5
ping -M do -s 1472 10.10.0.5
curl -sS --max-time 30 -F file=@./sample.bin https://files.corp.internal/upload

Yalnız bir subnet uğursuz olursa, trafik seçicilərinə, marşrut elanlarına və həmin subnetin qayıdış şlüzünə baxın. Yalnız host adı uğursuz olursa, DNS-i izləyin, o cümlədən müştərinin hansı həlledicidən istifadə etdiyini və uzaq görünüşün həmin saytdan görünüb-görünmədiyini. Üç fərqli nasazlıq, üç fərqli düzəliş və ping testi heç birini ayırd etmir.

Düzəlişdən sonra eyni testi təkrarlayın

Eyni müştəri, təyinat, port və yükü yenidən işə salın. Sonra dizaynda varsa yenidən qoşulun və ya ehtiyat yolu sınayın, çünki yalnız orijinal tunel nüsxəsi sağ ikən işləyən düzəliş sınaqdan keçirilməyib. Testi panodakı bir yaşıl göstərici yerinə real mənbə, real təyinat və real əməliyyatla bağlı saxlayın.

Dörd başlanğıc dəyərini və nəticəni qeyd edin. Eyni simptomun növbəti hesabatı sonra ping yerinə sübutdan başlaya bilər.