In ping fan de IPsec-poarte brûkt in oar boarne-adres
In ping dy’t op de poarte sels start, kiest syn eigen boarne, en dy boarne feroaret it belied en it weromwei. Kies de test dy’t bewiist wat jo nedich hawwe.
Pingje de oare kant fan de IPsec-poarte, krije gjin antwurd en konkludearje dat de tunnel stikken is, wylst elke wurklêst efter de poarte normaal ferkear trochjout. De twa resultaten binne net tsjinstridich. In ping dy’t op de poarte start is in pakket mei in lokale boarne, en de poarte kiest in boarne-adres út syn eigen rûtelear. Dy kar kin oars wêze as de adressen dy’t it echte sideferkear brûkt, en dat feroaret hokker belied past en hokker weromrûte jildt. Beslis wat de test bewize moat foardat jo eat yn syn resultaat lêze.
Trije ferskillende fragen dy’t in ping beäntwurdzje kin
De earste fraach is oft de fiere kant hielendal berikber is fanôf dit host. De twadde is oft de selektors fan de tunnel of it rûte-basearre belied ferkear fan in beskaat boarne talitte. De tredde is oft trochstjoerd ferkear fan in wurklêst efter de poarte fan ein oant ein wurket. Ien opdracht kin net alle trije beäntwurdzje, en it boarne-adres is wat se skiedt.
Kies earst de fraach. Oars wurdt in mislearre ping bewiis foar hokker teory jo ek al hiene.
Wêrom de poarte in adres kiest dat jo net ferwachte
As jo in bestimming pingje, kiest de lokale stabel in boarne út de rûte dy’t dêrby past. Op in rûte-basearre tunnel kin dat it keppeladres fan de tunnelinterface wêze, dat yn in protte side-ûntwerpen in 169.254.x.x-pear is dat keazen is foar de punt-nei-punt-hop. Dy adressen besteane om de keppeling wurkje te litten; se wurde oan de fiere kant net oankundige as boarne-netwurken foar applikaasjes.
Sa kin de fiere kant in echo-fersyk ûntfange fan in adres dêr’t er gjin weromrûte nei hat, of ien dêr’t gjin selektor by past. De tunnel kin sûn wêze en de ping kin dochs mislearje, en dat is krekt it falske negatyf dêr’t dit artikel oer giet.
Kies de boarne bewust
Kies op in kontrolearre Linux-poarte in boarne dy’t al lokaal tawiisd is: ping -c 4 -I 10.30.0.1 10.40.0.20. De adressen hjir binne yllustratyf, ferfange se dêrom troch it echte binnenadres fan de poarte en in echte fiere bestimming, en befêstigje dat de boarne dy’t jo kieze by dit apparaat heart en troch it sidebelied tastien wurdt.
Lien gjin adres fan in wurklêst foar de test. It neidwaan fan in host dy’t net oan de poarte tawiisd is, makket in resultaat dat nimmen werhelje kin, en op guon stapels mislearret it op manearen dy’t op in tunnelstoaring lykje.
Lês it weromwei, net allinnich it fersyk
Kontrolearje hokker boarne echt by de fiere bestimming oankomt, ynklusyf alle bewuste oersetting ûnderweis. Kontrolearje dan de weromrûte fan de fiere kant nei dy boarne en de selektors of it belied dy’t it tasteane. In fersyk dat mei in ûnferwachte boarne oankomt is in fraach fan rûteplanning en belied, net fan kryptografy.
Hjir helpt it fangen fan pakketten ek mear as noch in ping: it lit de boarne sjen dy’t de fiere kant seach, en dat is it adres dat syn antwurd berikke moat.
Test dan de wurklêst
De beslissende test is in ping fan in gewoane host efter de poarte nei in gewoane host efter de fiere poarte. Dat oefent de trochstjoerrol fan de poarte, de echte applikaasjeboarne en it wiere weromwei, en dat is de stream dêr’t brûkers om tinke.
Hâld de resultaten apart yn jo notysjes: berikberens fan de poarte, beliedstastimming foar in keazen boarne, en trochstjoerd ferkear. In slagge fêstsette ping is nuttich bewiis dat de tunnel eat draacht; it is gjin bewiis dat elke trochstjoerde stream wurket. En in automatysk keazen poarteboarne dy’t net berikber is, is gjin bewiis dat de tunnel fan de side del is.
Foegje gjin algemiene rûte foar 169.254.0.0/16 ta allinnich om ien diagnostysk antwurd te krijen. Dat ruilet in misliedende test foar in permaninte rûtebeslissing, en de folgjende persoan erft dy sûnder de kontekst.