Ping el la IPsec-pordego uzas alian fontan adreson

Sendu ping al la malproksima flanko el la IPsec-pordego, ne ricevu respondon kaj konkludu, ke la tunelo estas difektita, dum ĉiu laborŝarĝo malantaŭ la pordego normale trapasigas trafikon. La du rezultoj ne kontraŭdiras unu la alian. Ping lanĉita sur la pordego estas pako kun loka fonto, kaj la pordego elektas fontan adreson el sia propra enkursiga tabelo. Tiu elekto povas diferenci de la adresoj, kiujn uzas la reala trafiko de la ejo, kio ŝanĝas, kiu politiko kongruas kaj kiu revena vojo validas. Decidu, kion la testo devas pruvi, antaŭ ol vi legos ion en ĝian rezulton.

Tri diversaj demandoj, kiujn ping povas respondi

La unua demando estas, ĉu la malproksima flanko estas entute atingebla el ĉi tiu gastiganto. La dua estas, ĉu la selektiloj de la tunelo aŭ la enkursiga politiko permesas trafikon el difinita fonto. La tria estas, ĉu plusendita trafiko de laborŝarĝo malantaŭ la pordego funkcias de fino al fino. Unu komando ne povas respondi ĉiujn tri, kaj la fonta adreso estas tio, kio apartigas ilin.

Elektu la demandon unue. Alie malsukcesa ping iĝas pruvo por tiu ajn teorio, kiun vi jam havis.

Kial la pordego elektas adreson, kiun vi ne atendis

Kiam vi pingas celon, la loka stako elektas fonton el la enkursigo, kiu kongruas kun ĝi. Sur enkursiga tunelo tio povas esti la ligila adreso de la tunela interfaco, kiu en multaj ejaj projektoj estas paro 169.254.x.x elektita por la punkto-al-punkto salteto. Tiuj adresoj ekzistas por ke la ligilo funkciu; ili ne estas anoncataj kiel aplikaĵfontaj retoj sur la malproksima flanko.

Do la malproksima flanko povas ricevi eĥan peton de adreso, al kiu ĝi havas neniun revenan enkursigon, aŭ de unu, kiun neniu selektilo kongruas. La tunelo povas esti sana kaj la ping tamen malsukcesi, kaj tio estas ĝuste la falsa negativo, pri kiu temas ĉi tiu artikolo.

Elektu la fonton intence

Sur kontrolita Linux-pordego, elektu fonton, kiu jam estas loke asignita: ping -c 4 -I 10.30.0.1 10.40.0.20. La adresoj ĉi tie estas ilustraj, do anstataŭigu la realan internan adreson de la pordego kaj realan malproksiman celon, kaj konfirmu, ke la fonto, kiun vi elektas, apartenas al ĉi tiu aparato kaj estas permesata de la eja politiko.

Ne prunteprenu la adreson de laborŝarĝo por la testo. Imiti gastiganton, kiu ne estas asignita al la pordego, kreas rezulton, kiun neniu povas reprodukti, kaj sur iuj stakoj ĝi malsukcesas tiel, ke ĝi aspektas kiel tunela difekto.

Legu la revenan vojon, ne nur la peton

Kontrolu, kiu fonto efektive alvenas al la malproksima celo, inkluzive de ajna intenca traduko survoje. Poste kontrolu la revenan enkursigon de la malproksima flanko al tiu fonto kaj la selektilojn aŭ politikon, kiuj permesas ĝin. Peto, kiu alvenas kun neatendita fonto, estas demando pri enkursigado kaj politiko, ne pri kriptografio.

Ĉi tie ankaŭ kaptado de pakoj helpas pli ol plia ping: ĝi montras la fonton, kiun vidis la malproksima flanko, kaj tio estas la adreso, kiun ĝia respondo devas atingi.

Poste testu la laborŝarĝon

La decida testo estas ping de ordinara gastiganto malantaŭ la pordego al ordinara gastiganto malantaŭ la malproksima pordego. Tio ekzercas la plusendan rolon de la pordego, la realan aplikaĵfonton kaj la veran revenan vojon, kio estas la fluo, pri kiu zorgas uzantoj.

Tenu la rezultojn aparte en viaj notoj: atingeblo el la pordego, politika permeso por elektita fonto, kaj plusendita trafiko. Sukcesa fiksita ping estas utila pruvo, ke la tunelo portas ion; ĝi ne estas pruvo, ke ĉiu plusendita fluo funkcias. Kaj aŭtomate elektita pordega fonto, kiu ne estas atingebla, ne estas pruvo, ke la eja tunelo estas malŝaltita.

Ne aldonu ĝeneralan enkursigon por 169.254.0.0/16 nur por ricevi unu diagnostikan respondon. Tio interŝanĝas misgvidan teston kontraŭ permanenta enkursiga decido, kaj la sekva persono heredas ĝin sen la kunteksto.