Ping ez da proba bat: probatu bi guneen arteko bidea

Tunela martxan dago, atebideek elkarri erantzuten diote, eta gune bateko erabiltzaileek oraindik ezin dute beste gunean partekatutako karpeta ireki. Norbaitek ping egiten du atebidetik, erantzuna jasotzen du eta sareari osasuntsu deklaratzen dio. Erantzun hark inoiz arazoa izan ez ziren bi gailuren artean bidaiatu zuen. Proba erabilgarria zerbitzua behar duen ostalarian hasten da, aplikazioak erabiltzen duen protokoloa erabiltzen du eta huts egiten duen baldintza erreproduzitzen du. Gainerako guztia inor ez dagoen bide baterako argi berdea da.

Hasi zerbitzua behar duen bezeroan

Idatzi lau gauza edozer probatu aurretik: bezeroaren helbidea, helmugako helbidea, ostalariaren izena eta aplikazioaren ataka. Gero egiaztatu zerbitzuak bere gunean bertan funtzionatzen duela, ondoan dagoen ostalari batetik. Oinarri hori gabe ezin duzu tunel hautsi bat zerbitzu hautsi batetik bereizi, eta txartel hauen erdiak bigarrena da.

Saiatu dokumentatutako ostalariaren izena eta, zerbitzuak uzten duenean, ataka beraren helbide zuzenaren egiaztapena. Izen bilaketa huts egiteak eta ebatzitako helbide iristezinak bide desberdinetara eramaten zaituzte. Ostalariaren izena IP batekin ordezkatzen baduzu, ez desgaitu HTTPS identitatearen egiaztapena horrek funtziona dezan; ziurtagiriaren abisua informazioa da, ez oztopoa.

Egin bidea ertz bakoitzean

Irakurri bezeroak aukeratzen duen ibilbidea, gero atebideak helmuga horretarako aukeratzen duen ibilbidea, gero kontagailuak edo ertz bakoitzean mugatutako kaptura. Bi gertaeren bila zabiltza: eskaera urrutiko LANera iritsi zen eta erantzun bat itzuli zen. Interfazearen kontagailuek beste fluxu guztiak barne hartzen dituzte, beraz, korrelazioa egin denbora-marka zehatzen eta helbide bikoteen arabera, ez grafikoaren formaren arabera. Ertz okerrean hartutako kaptura bat bat ere ez baino okerragoa da, frogaren itxura duelako.

ip route get 10.10.0.5
sudo tcpdump -ni any host 10.10.0.5 and port 445
sudo tcpdump -ni any net 10.10.0.0/24 and net 10.20.0.0/24

Eskaera urrutiko ertzean agertzen bada atzean erantzunik gabe, arazoa beste aldean dago: suebaki bat, itzulera-ibilbide bat falta da edo iturria onartzen ez duen ostalari bat. Eskaera inoiz agertzen ez bada, tokiko ibilbideak edo tunelaren hautatzaileek ez dute eraman, eta beste aldeak ez du oraindik ikerketarik merezi.

Erabili aplikazioak erabiltzen duen protokoloa

ICMP zunda ahula da. Iragaz daiteke, abiaduraz mugatu daiteke edo zerbitzuaren politikaz bestelako batekin trata daiteke, eta horrek bai arrakasta bai porrota anbiguo bihurtzen ditu. Probatu benetako ataka eta, ahal duzunean, protokoloaren benetako eskuko heltzea.

nc -vz 10.10.0.5 445
curl -sv --max-time 5 https://files.corp.internal/ -o /dev/null
openssl s_client -connect 10.10.0.5:443 -servername files.corp.internal

Osatutako TCP eskuko heltzeak ataka horretarako irisgarritasuna eta politika frogatzen ditu. Ez du frogatzen aplikazioa funtzionatzen duenik: autentifikazioak, karga batek edo API dei zehatz batek huts egin dezake oraindik. Probatu erabiltzaileek benetan egiten duten eragiketa, baliokide kaltegabe bat erabiliz benetako transakzio bat behin eta berriz bidali beharrean.

Erreproduzitu huts egiten duen baldintza

Transferentzia handiekin soilik agertzen diren hutsegiteak tamainaren arazoa dira, ez konektagarritasunarena. Bidali pakete handi bat don't-fragment bita ezarrita eta begiratu non gelditzen den. Eskaera txiki batek arrakasta badu eta handi batek zintzilik badirau, tunelaren MTUa eta atebideetako MSS tratamendua dira hurrengo susmagarriak.

ping -M do -s 1400 10.10.0.5
ping -M do -s 1472 10.10.0.5
curl -sS --max-time 30 -F file=@./sample.bin https://files.corp.internal/upload

Azpisare bakar batek huts egiten badu, begiratu trafiko hautatzaileak, ibilbide iragarkiak eta azpisare horren itzulera-atebidea. Ostalariaren izenak soilik huts egiten badu, jarraitu DNSa, bezeroak zein ebazpen-zerbitzu erabili zuen eta urrutiko ikuspegia gune horretatik ikusgai den barne. Hiru hutsegite desberdin, hiru konponbide desberdin, eta ping probak ez du bat ere bereizten.

Konpondu ondoren, errepikatu proba bera

Exekutatu berriro bezero, helmuga, ataka eta karga berak. Ondoren, berriz konektatu edo probatu ordezko bidea diseinuak badu, jatorrizko tunel instantzia bizirik dagoen bitartean soilik funtzionatzen duen konponbide bat ez baita probatu. Eutsi proba iturri erreal bati, helmuga erreal bati eta eragiketa erreal bati lotuta, panel bateko adierazle berde bati lotu beharrean.

Erregistratu lau oinarrizko balioak eta emaitza. Sintoma beraren hurrengo txostenak orduan frotetatik abiatu ahal izango da, ping batetik beharrean.