IPsec-yhdyskäytävästä tehty ping käyttää eri lähdeosoitetta

Lähetä ping IPsec-yhdyskäytävästä vastakkaiselle puolelle, älä saa vastausta ja päättele, että tunneli on rikki, vaikka jokainen yhdyskäytävän takana oleva työkuorma välittää liikennettä normaalisti. Nämä kaksi tulosta eivät ole ristiriidassa. Yhdyskäytävällä käynnistetty ping on paikallislähteinen paketti, ja yhdyskäytävä valitsee lähdeosoitteen omasta reititystaulustaan. Tämä valinta voi poiketa osoitteista, joita sivuston todellinen liikenne käyttää, mikä muuttaa sitä, mikä käytäntö täsmää ja mikä paluureitti pätee. Päätä, mitä testin on todistettava, ennen kuin luet tuloksesta mitään.

Kolme eri kysymystä, joihin ping voi vastata

Ensimmäinen kysymys on, onko vastapuoli ylipäätään tavoitettavissa tästä isännästä. Toinen on, sallivatko tunnelin valitsimet tai reittipohjainen käytäntö liikennettä tietystä lähteestä. Kolmas on, toimiiko yhdyskäytävän takana olevasta työkuormasta edelleen välitetty liikenne päästä päähän. Yksi komento ei voi vastata kaikkiin kolmeen, ja lähdeosoite on se, mikä ne erottaa.

Valitse ensin kysymys. Muuten epäonnistunut ping muuttuu todisteeksi teorialle, joka sinulla jo oli.

Miksi yhdyskäytävä valitsee osoitteen, jota et odottanut

Kun pingaat kohdetta, paikallinen pino valitsee lähteen reitiltä, joka täsmää sen kanssa. Reittipohjaisessa tunnelissa se voi olla tunnelin rajapinnan linkkiosoite, joka monissa sivustosuunnitelmissa on pistevälisen hypyn vuoksi valittu 169.254.x.x-pari. Nämä osoitteet ovat olemassa, jotta linkki toimii; niitä ei ilmoiteta sovellusten lähdeverkoiksi vastapuolella.

Vastapuoli voi siis saada kaikukyselyn osoitteesta, johon sillä ei ole paluureittiä, tai sellaisesta, johon mikään valitsin ei täsmää. Tunneli voi olla kunnossa ja ping silti epäonnistua, ja juuri siitä tässä artikkelissa on kyse.

Valitse lähde tarkoituksella

Valitse hallitulla Linux-yhdyskäytävällä lähde, joka on jo paikallisesti määritetty: ping -c 4 -I 10.30.0.1 10.40.0.20. Osoitteet ovat tässä havainnollistavia, joten korvaa ne yhdyskäytävän todellisella sisäosoitteella ja todellisella etäkohteella ja varmista, että valitsemasi lähde kuuluu tälle laitteelle ja että sivuston käytäntö sallii sen.

Älä lainaa työkuorman osoitetta testiä varten. Sellaisen isännän teeskentely, jota ei ole määritetty yhdyskäytävälle, luo tuloksen, jota kukaan ei voi toistaa, ja joissakin pinoissa se epäonnistuu tavoilla, jotka näyttävät tunnelin vialta.

Lue paluureitti, älä vain pyyntöä

Tarkista, mikä lähde todella saapuu etäkohteeseen, mukaan lukien mahdollinen tarkoituksellinen käännös matkalla. Tarkista sitten vastapuolen paluureitti siihen lähteeseen ja valitsimet tai käytäntö, jotka sallivat sen. Pyyntö, joka saapuu odottamattomasta lähteestä, on reititys- ja käytäntökysymys, ei salauskysymys.

Tässä myös paketin kaappaus auttaa enemmän kuin uusi ping: se näyttää lähteen, jonka vastapuoli näki, ja se on osoite, johon sen vastauksen on yllettävä.

Testaa sitten työkuorma

Ratkaiseva testi on ping tavallisesta isännästä yhdyskäytävän takaa tavalliseen isäntään etäyhdyskäytävän takana. Se harjoittaa yhdyskäytävän välitysroolia, sovelluksen todellista lähdettä ja todellista paluureittiä, ja se on se virta, josta käyttäjät välittävät.

Pidä tulokset muistiinpanoissasi erillään: tavoitettavuus yhdyskäytävältä, käytännön hyväksyntä valitulle lähteelle ja edelleen välitetty liikenne. Onnistunut kiinnitetty ping on hyödyllinen todiste siitä, että tunneli kuljettaa jotain; se ei ole todiste siitä, että jokainen välitetty virta toimii. Ja automaattisesti valittu yhdyskäytävän lähde, johon ei pääse, ei ole todiste siitä, että sivuston tunneli on alhaalla.

Älä lisää yleistä reittiä 169.254.0.0/16:lle vain yhden diagnostiikkavastauksen saamiseksi. Se vaihtaa harhaanjohtavan testin pysyvään reitityspäätökseen, ja seuraava henkilö perii sen ilman asiayhteyttä.