IPsec-lüüsist tehtud ping kasutab teistsugust lähteaadressi

Saatke ping IPsec-lüüsist kaugemale poole, ärge saage vastust ja järeldage, et tunnel on katki, kuigi iga töökoormus lüüsi taga edastab liiklust tavaliselt. Need kaks tulemust ei ole vastuolus. Lüüsil käivitatud ping on kohaliku lähtega pakett ja lüüs valib lähteaadressi oma marsruutimistabelist. See valik võib erineda aadressidest, mida kasutab saidi tegelik liiklus, mis muudab, milline poliitika sobib ja milline tagasitee kehtib. Otsustage, mida test peab tõestama, enne kui loete sellesse midagi sisse.

Kolm erinevat küsimust, millele ping võib vastata

Esimene küsimus on, kas kaugem pool on sellest hostist üldse kättesaadav. Teine on, kas tunneli selektorid või marsruudipõhine poliitika lubavad liiklust kindlalt lähtelt. Kolmas on, kas lüüsi taga olevast töökoormusest edastatud liiklus töötab otsast otsani. Üks käsk ei saa vastata kõigile kolmele ja lähteaadress on see, mis need eraldab.

Valige esmalt küsimus. Muidu muutub ebaõnnestunud ping tõestuseks teooriale, mis teil juba oli.

Miks lüüs valib aadressi, mida te ei oodanud

Kui pingite sihtkohta, valib kohalik virn lähte marsruudilt, mis sellega sobib. Marsruudipõhisel tunnelil võib see olla tunneli liidese lingi aadress, mis paljudes saidi kavandites on punkt-punkti hüppe jaoks valitud paar 169.254.x.x. Need aadressid on olemas, et link töötaks; neid ei kuulutata kaugemal poolel rakenduste lähtevõrkudena.

Seega võib kaugem pool saada kaja taotluse aadressilt, kuhu tal pole tagasiteed, või selliselt, millega ükski selektor ei sobitu. Tunnel võib olla terve ja ping siiski ebaõnnestuda, ja see on täpselt see vale negatiivne tulemus, millest see artikkel räägib.

Valige lähe teadlikult

Kontrollitaval Linuxi lüüsil valige lähe, mis on juba kohapeal määratud: ping -c 4 -I 10.30.0.1 10.40.0.20. Aadressid on siin näitlikud, seega asendage lüüsi tegelik sisemine aadress ja tegelik kaugsiht ning kinnitage, et valitud lähe kuulub sellele seadmele ja saidi poliitika lubab seda.

Ärge laenake testi jaoks töökoormuse aadressi. Hostit, mis ei ole lüüsile määratud, jäljendades tekib tulemus, mida keegi ei saa korrata, ja mõnes virnas ebaõnnestub see viisil, mis näeb välja nagu tunneli rike.

Lugege tagasiteed, mitte ainult taotlust

Kontrollige, milline lähe tegelikult kaugsihtkohta jõuab, sealhulgas mis tahes teadlik tõlge teel. Seejärel kontrollige kaugema poole tagasiteed sellele lähtele ning selektoreid või poliitikat, mis seda lubavad. Ootamatu lähtega saabuv taotlus on marsruutimise ja poliitika küsimus, mitte krüptograafia oma.

Siin aitab ka paketipüük rohkem kui veel üks ping: see näitab lähet, mida kaugem pool nägi, ja see on aadress, milleni peab jõudma selle vastus.

Seejärel testige töökoormust

Otsustav test on ping tavalise hosti ja lüüsi taga asuva hosti juurest kaugema lüüsi taga asuvasse tavalise hosti. See harjutab lüüsi edastusrolli, rakenduse tegelikku lähet ja tegelikku tagasiteed, mis on voog, mis kasutajatele korda läheb.

Hoidke tulemused märkmetes eraldi: kättesaadavus lüüsist, poliitika luba valitud lähtele ja edastatud liiklus. Õnnestunud kinnitatud ping on kasulik tõend, et tunnel midagi kannab; see ei ole tõestus, et iga edastatud voog töötab. Ja automaatselt valitud lüüsi lähe, mida ei saa kätte, ei ole tõestus, et saidi tunnel on maas.

Ärge lisage üldist marsruuti 169.254.0.0/16 jaoks ainult ühe diagnostilise vastuse saamiseks. See vahetab eksitava testi püsiva marsruutimisotsuse vastu ja järgmine inimene pärib selle ilma kontekstita.