Ping is gjin bewiis: test it paad tusken twa lokaasjes

De tunnel is oan, de gateways antwurdzje inoar, en dochs kinne de brûkers op ien lokaasje de dielde map op 'e oare net iepenje. Immen pinget fan 'e gateway, krijt in antwurd en ferklearret it netwurk sûn. Dat antwurd reizge tusken twa apparaten dy't nea it probleem wiene. In nuttige test begjint by de host dy't de tsjinst nedich hat, brûkt it protokol dat de applikaasje brûkt en reproduisearret de betingst wêryn't it mislearret. Al it oare is grien ljocht foar in paad dêr't nimmen op is.

Begjin by de klant dy't de tsjinst nedich hat

Skriuw fjouwer dingen op foar't jo wat testje: it adres fan 'e klant, it bestimmingsadres, de hostnamme en de poarte fan 'e applikaasje. Befêstigje dan dat de tsjinst lokaal op syn eigen lokaasje wurket, fan in host njonken. Sûnder dy basisline kinne jo in brutsen tunnel net fan in brutsen tsjinst ûnderskiede, en de helte fan dizze kaartsjes is de twadde.

Probearje de dokumintearre hostnamme en, wêr't de tsjinst it tastiet, in direkte adreskontrôle fan deselde poarte. In mislearre namnesykjen en in ûnberikber oplost adres stjoere jo oer ferskate paden. As jo in hostnamme ferfange troch in IP, skeakelje dan de HTTPS-identiteitskontrôle net út om it wurkje te litten; in sertifikaatwarskôging is ynformaasje, gjin obstakel.

Rin it paad by elke râne

Lês de rûte dy't de klant kiest, dan de rûte dy't de gateway foar dy bestimming kiest, dan de tellers of in beheinde opname by elke râne. Jo sykje twa feiten: kaam it fersyk oan op it fiere LAN, en kaam der in antwurd werom. Ynterface-tellers befetsje elke oare stream, dus korrelearje op eksakte tiidstimpel en adrespear yn stee fan op 'e foarm fan 'e grafyk. In opname op 'e ferkearde râne is slimmer as gjin, want it liket op bewiis.

ip route get 10.10.0.5
sudo tcpdump -ni any host 10.10.0.5 and port 445
sudo tcpdump -ni any net 10.10.0.0/24 and net 10.20.0.0/24

As it fersyk by de fiere râne ferskynt sûnder antwurd dêrefter, is it probleem oan 'e oare kant: in firewall, in ûntbrekkende weromrûte of in host dy't de boarne net akseptearret. As it fersyk nea ferskynt, hawwe de lokale rûte of de tunnelkiezers it net droegen, en de oare kant is noch gjin ûndersyk wurdich.

Brûk it protokol dat de applikaasje brûkt

ICMP is in swakke sonde. It kin filtere, yn snelheid beheind of troch in oar belied as de tsjinst behannele wurde, wat sawol it sukses as it mislearjen dûbelsinnich makket. Test de werklike poarte en, wêr't jo kinne, de werklike protokolhânskodding.

nc -vz 10.10.0.5 445
curl -sv --max-time 5 https://files.corp.internal/ -o /dev/null
openssl s_client -connect 10.10.0.5:443 -servername files.corp.internal

In foltôge TCP-hânskodding bewiist berikberens en belied foar dy poarte. It bewiist net dat de applikaasje wurket: autentikaasje, in upload of in spesifike API-oprop kin noch mislearje. Test de operaasje dy't brûkers echt útfiere, mei in ûnskeadlik ekwivalint yn stee fan hieltiten in echte transaksje yn te tsjinjen.

Reproduisearje de betingst dy't mislearret

Mislearrings dy't allinnich by grutte oerdrachten ferskine binne in grutteprobleem, gjin ferbiningprobleem. Stjoer in grut pakket mei de don't-fragment-bit ynsteld en sjoch wêr't it stopt. As in lyts fersyk slagget en in grut ien hinget, binne de tunnel-MTU en de MSS-behanneling op 'e gateways de folgjende fertochten.

ping -M do -s 1400 10.10.0.5
ping -M do -s 1472 10.10.0.5
curl -sS --max-time 30 -F file=@./sample.bin https://files.corp.internal/upload

As allinnich ien subnet mislearret, sjoch dan nei ferkearskiezers, rûte-oankundigings en de weromgateway fan dat subnet. As allinnich de hostnamme mislearret, folgje DNS, ynklusyf hokker resolver de klant brûkte en oft de fiere werjeftich fan dat lokaasje ôf te sjen is. Trije ferskate flaters, trije ferskate oplossings, en de ping-test ûnderskiedt gjinien fan har.

Nei de oplossing, werhelje deselde test

Start deselde klant, bestimming, poarte en lading opnij. Ferbining dan opnij of beproef it failover-paad as it ûntwerp dat hat, want in oplossing dy't allinnich wurket salang't de oarspronklike tunnelinstânsje libbet, hat gjin test hân. Hâld de test bûn oan in echte boarne, in echte bestimming en in echte operaasje yn stee fan ien griene yndikator op in dashboard.

Registrearje de fjouwer basiswearden en it resultaat. It folgjende rapport oer itselde symptoom kin dan fan bewiis begjinne yn stee fan fan in ping.