El ping des de la passarel·la IPsec fa servir una adreça d’origen diferent

Feu ping a l’altre costat des de la passarel·la IPsec, no rebeu cap resposta i concloeu que el túnel està trencat, mentre cada càrrega de treball darrere de la passarel·la passa trànsit amb normalitat. Els dos resultats no es contradiuen. Un ping iniciat a la passarel·la és un paquet amb origen local, i la passarel·la tria una adreça d’origen de la seva pròpia taula d’encaminament. Aquesta tria pot diferir de les adreces que fa servir el trànsit real del lloc, cosa que canvia quina política coincideix i quina ruta de tornada s’aplica. Decidiu què ha de demostrar la prova abans de treure cap conclusió del resultat.

Tres preguntes diferents que un ping pot respondre

La primera pregunta és si l’extrem remot és accessible, ni que sigui, des d’aquest amfitrió. La segona és si els selectors del túnel o la política basada en rutes admeten trànsit d’un origen concret. La tercera és si el trànsit reenviat des d’una càrrega de treball darrere de la passarel·la funciona d’extrem a extrem. Una ordre no pot respondre les tres, i l’adreça d’origen és el que les separa.

Trieu primer la pregunta. Si no, un ping fallit es converteix en prova de la teoria que ja teníeu.

Per què la passarel·la tria una adreça que no esperàveu

Quan feu ping a una destinació, la pila local tria un origen de la ruta que hi coincideix. En un túnel basat en rutes, això pot ser l’adreça d’enllaç de la interfície del túnel, que en molts dissenys de lloc és una parella 169.254.x.x triada per al salt punt a punt. Aquestes adreces existeixen perquè l’enllaç funcioni; no s’anuncien com a xarxes d’origen d’aplicacions a l’altre costat.

Així, l’extrem remot pot rebre una sol·licitud d’eco d’una adreça cap a la qual no té ruta de tornada, o d’una que cap selector no fa coincidir. El túnel pot estar sa i el ping pot fallar igualment, i aquest és exactament el fals negatiu del qual tracta aquest article.

Trieu l’origen deliberadament

En una passarel·la Linux controlada, trieu un origen que ja estigui assignat localment: ping -c 4 -I 10.30.0.1 10.40.0.20. Les adreces d’aquí són il·lustratives, així que substituïu l’adreça interior real de la passarel·la i una destinació remota real, i confirmeu que l’origen que trieu pertany a aquest dispositiu i que la política del lloc l’admet.

No agafeu l’adreça d’una càrrega de treball per a la prova. Fer-se passar per un amfitrió que no està assignat a la passarel·la crea un resultat que ningú no pot reproduir, i en algunes piles falla de maneres que semblen una fallada del túnel.

Llegiu el camí de tornada, no només la sol·licitud

Comproveu quin origen arriba realment a la destinació remota, incloent-hi qualsevol traducció deliberada pel camí. Després comproveu la ruta de tornada de l’extrem remot cap a aquest origen i els selectors o la política que la permeten. Una sol·licitud que arriba amb un origen inesperat és una qüestió d’encaminament i política, no de criptografia.

Aquí també una captura ajuda més que un altre ping: mostra l’origen que va veure l’extrem remot, que és l’adreça que ha d’assolir la seva resposta.

Després proveu la càrrega de treball

La prova decisiva és un ping des d’un amfitrió corrent darrere de la passarel·la fins a un amfitrió corrent darrere de la passarel·la remota. Això exerceix el paper de reenviament de la passarel·la, l’origen real de l’aplicació i el camí de tornada real, que és el flux que importa als usuaris.

Manteniu els resultats separats a les notes: accessibilitat local des de la passarel·la, admissió per política d’un origen triat i trànsit reenviat. Un ping fixat amb èxit és una prova útil que el túnel porta alguna cosa; no és prova que tots els fluxos reenviats funcionin. I un origen de passarel·la triat automàticament que no es pot assolir no és prova que el túnel del lloc estigui caigut.

No afegiu una ruta general per a 169.254.0.0/16 només per obtenir una resposta de diagnòstic. Això canvia una prova enganyosa per una decisió d’encaminament permanent, i la persona següent l’hereta sense el context.