Το ping από την πύλη IPsec χρησιμοποιεί διαφορετική διεύθυνση πηγής

Στείλτε ping στην απέναντι πλευρά από την πύλη IPsec, μη λάβετε απάντηση και συμπεράνετε ότι το τούνελ είναι χαλασμένο, ενώ κάθε φόρτος εργασίας πίσω από την πύλη περνά κανονικά κίνηση. Τα δύο αποτελέσματα δεν αντιφάσκουν. Ένα ping που ξεκινά στην πύλη είναι πακέτο με τοπική πηγή, και η πύλη επιλέγει διεύθυνση πηγής από τον δικό της πίνακα δρομολόγησης. Η επιλογή αυτή μπορεί να διαφέρει από τις διευθύνσεις που χρησιμοποιεί η πραγματική κίνηση της τοποθεσίας, κάτι που αλλάζει ποια πολιτική ταιριάζει και ποια διαδρομή επιστροφής ισχύει. Αποφασίστε τι πρέπει να αποδείξει η δοκιμή πριν διαβάσετε οτιδήποτε στο αποτέλεσμά της.

Τρία διαφορετικά ερωτήματα που μπορεί να απαντήσει ένα ping

Το πρώτο ερώτημα είναι αν η απομακρυσμένη πλευρά είναι καθόλου προσβάσιμη από αυτόν τον κεντρικό υπολογιστή. Το δεύτερο είναι αν οι επιλογείς του τούνελ ή η πολιτική βάσει δρομολογίων επιτρέπουν κίνηση από συγκεκριμένη πηγή. Το τρίτο είναι αν η προωθούμενη κίνηση από φόρτο εργασίας πίσω από την πύλη λειτουργεί από άκρη σε άκρη. Μία εντολή δεν μπορεί να απαντήσει και στα τρία, και η διεύθυνση πηγής είναι αυτό που τα χωρίζει.

Διαλέξτε πρώτα το ερώτημα. Αλλιώς ένα αποτυχημένο ping γίνεται απόδειξη για όποια θεωρία είχατε ήδη.

Γιατί η πύλη επιλέγει μια διεύθυνση που δεν περιμένατε

Όταν κάνετε ping σε έναν προορισμό, η τοπική στοίβα επιλέγει πηγή από το δρομολόγιο που του ταιριάζει. Σε τούνελ βάσει δρομολογίων αυτό μπορεί να είναι η διεύθυνση ζεύξης της διεπαφής του τούνελ, που σε πολλά σχέδια τοποθεσίας είναι ένα ζεύγος 169.254.x.x επιλεγμένο για το άλμα σημείο-προς-σημείο. Αυτές οι διευθύνσεις υπάρχουν για να λειτουργεί η ζεύξη· δεν διαφημίζονται ως δίκτυα πηγής εφαρμογών στην απέναντι πλευρά.

Έτσι η απομακρυσμένη πλευρά μπορεί να λάβει αίτημα ηχούς από διεύθυνση προς την οποία δεν έχει διαδρομή επιστροφής, ή από μία που δεν ταιριάζει κανένας επιλογέας. Το τούνελ μπορεί να είναι υγιές και το ping να αποτυγχάνει παρόλα αυτά, και αυτό είναι ακριβώς το ψευδώς αρνητικό για το οποίο μιλά αυτό το άρθρο.

Διαλέξτε την πηγή σκόπιμα

Σε μια ελεγχόμενη πύλη Linux, διαλέξτε πηγή που έχει ήδη εκχωρηθεί τοπικά: ping -c 4 -I 10.30.0.1 10.40.0.20. Οι διευθύνσεις εδώ είναι ενδεικτικές, οπότε αντικαταστήστε την πραγματική εσωτερική διεύθυνση της πύλης και έναν πραγματικό απομακρυσμένο προορισμό, και επιβεβαιώστε ότι η πηγή που διαλέγετε ανήκει σε αυτή τη συσκευή και ότι την επιτρέπει η πολιτική της τοποθεσίας.

Μη δανειστείτε τη διεύθυνση ενός φόρτου εργασίας για τη δοκιμή. Η υποδήλωση υπολογιστή που δεν έχει εκχωρηθεί στην πύλη δημιουργεί αποτέλεσμα που κανείς δεν μπορεί να αναπαράγει, και σε ορισμένες στοίβες αποτυγχάνει με τρόπους που μοιάζουν με βλάβη του τούνελ.

Διαβάστε τη διαδρομή επιστροφής, όχι μόνο το αίτημα

Ελέγξτε ποια πηγή φτάνει πραγματικά στον απομακρυσμένο προορισμό, περιλαμβανομένης οποιασδήποτε σκόπιμης μετάφρασης στη διαδρομή. Έπειτα ελέγξτε τη διαδρομή επιστροφής της απομακρυσμένης πλευράς προς αυτή την πηγή και τους επιλογείς ή την πολιτική που την επιτρέπουν. Ένα αίτημα που φτάνει με απρόσμενη πηγή είναι ζήτημα δρομολόγησης και πολιτικής, όχι κρυπτογραφίας.

Εδώ επίσης μια καταγραφή πακέτων βοηθά περισσότερο από άλλο ένα ping: δείχνει την πηγή που είδε η απομακρυσμένη πλευρά, και αυτή είναι η διεύθυνση που πρέπει να φτάσει η απάντησή της.

Έπειτα δοκιμάστε τον φόρτο εργασίας

Η καθοριστική δοκιμή είναι ένα ping από έναν συνηθισμένο υπολογιστή πίσω από την πύλη προς έναν συνηθισμένο υπολογιστή πίσω από την απομακρυσμένη πύλη. Αυτό ασκεί τον ρόλο προώθησης της πύλης, την πραγματική πηγή της εφαρμογής και την αληθινή διαδρομή επιστροφής, που είναι η ροή που νοιάζει τους χρήστες.

Κρατήστε τα αποτελέσματα χωριστά στις σημειώσεις σας: προσβασιμότητα από την πύλη, αποδοχή από την πολιτική για επιλεγμένη πηγή και προωθούμενη κίνηση. Ένα επιτυχημένο καρφιτσωμένο ping είναι χρήσιμη απόδειξη ότι το τούνελ μεταφέρει κάτι· δεν είναι απόδειξη ότι κάθε προωθούμενη ροή λειτουργεί. Και μια αυτόματα επιλεγμένη πηγή πύλης που δεν είναι προσβάσιμη δεν είναι απόδειξη ότι το τούνελ της τοποθεσίας είναι κάτω.

Μην προσθέσετε μια γενική διαδρομή για το 169.254.0.0/16 μόνο για να πάρετε μία διαγνωστική απάντηση. Αυτό ανταλλάσσει μια παραπλανητική δοκιμή με μια μόνιμη απόφαση δρομολόγησης, και ο επόμενος άνθρωπος την κληρονομεί χωρίς το πλαίσιο.