El ping desde la puerta de enlace IPsec usa otra dirección de origen

Haga ping al lado remoto desde la puerta de enlace IPsec, no reciba respuesta y concluya que el túnel está roto, mientras cada carga de trabajo detrás de la puerta de enlace cursa tráfico con normalidad. Los dos resultados no se contradicen. Un ping iniciado en la puerta de enlace es un paquete con origen local, y la puerta de enlace elige una dirección de origen de su propia tabla de rutas. Esa elección puede diferir de las direcciones que usa el tráfico real del sitio, lo que cambia qué política coincide y qué ruta de vuelta se aplica. Decida qué debe demostrar la prueba antes de leer nada en su resultado.

Tres preguntas distintas que un ping puede responder

La primera pregunta es si el extremo remoto es accesible siquiera desde este host. La segunda es si los selectores del túnel o la política basada en rutas admiten tráfico de un origen concreto. La tercera es si el tráfico reenviado desde una carga de trabajo detrás de la puerta de enlace funciona de extremo a extremo. Un solo comando no puede responder las tres, y la dirección de origen es lo que las separa.

Elija primero la pregunta. Si no, un ping fallido se convierte en prueba de la teoría que ya tenía.

Por qué la puerta de enlace elige una dirección que no esperaba

Cuando hace ping a un destino, la pila local elige un origen de la ruta que coincide con él. En un túnel basado en rutas eso puede ser la dirección de enlace de la interfaz del túnel, que en muchos diseños de sitio es un par 169.254.x.x elegido para el salto punto a punto. Esas direcciones existen para que el enlace funcione; no se anuncian como redes de origen de aplicaciones en el lado remoto.

Así, el extremo remoto puede recibir una solicitud de eco desde una dirección a la que no tiene ruta de vuelta, o desde una que ningún selector coincide. El túnel puede estar sano y el ping fallar igualmente, y ese es exactamente el falso negativo del que trata este artículo.

Elija el origen a propósito

En una puerta de enlace Linux controlada, elija un origen que ya esté asignado localmente: ping -c 4 -I 10.30.0.1 10.40.0.20. Las direcciones de aquí son ilustrativas, así que sustituya la dirección interior real de la puerta de enlace y un destino remoto real, y confirme que el origen que elige pertenece a este dispositivo y que la política del sitio lo admite.

No tome prestada la dirección de una carga de trabajo para la prueba. Suplantar un host que no está asignado a la puerta de enlace crea un resultado que nadie puede reproducir, y en algunas pilas falla de formas que parecen un defecto del túnel.

Lea la ruta de vuelta, no solo la solicitud

Compruebe qué origen llega realmente al destino remoto, incluida cualquier traducción deliberada por el camino. Después compruebe la ruta de vuelta del lado remoto hacia ese origen y los selectores o la política que la permiten. Una solicitud que llega con un origen inesperado es una cuestión de enrutamiento y política, no de criptografía.

Aquí también una captura ayuda más que otro ping: muestra el origen que vio el extremo remoto, que es la dirección que debe alcanzar su respuesta.

Después pruebe la carga de trabajo

La prueba decisiva es un ping desde un host corriente detrás de la puerta de enlace hasta un host corriente detrás de la puerta de enlace remota. Eso ejercita el papel de reenvío de la puerta de enlace, el origen real de la aplicación y la ruta de vuelta verdadera, que es el flujo que importa a los usuarios.

Mantenga los resultados separados en sus notas: accesibilidad local desde la puerta de enlace, admisión por política para un origen elegido y tráfico reenviado. Un ping fijado con éxito es una prueba útil de que el túnel transporta algo; no es prueba de que todo flujo reenviado funcione. Y un origen de puerta de enlace elegido automáticamente que no se puede alcanzar no es prueba de que el túnel del sitio esté caído.

No añada una ruta general para 169.254.0.0/16 solo para obtener una respuesta de diagnóstico. Eso cambia una prueba engañosa por una decisión de enrutamiento permanente, y la siguiente persona la hereda sin el contexto.