פינג משער IPsec משתמש בכתובת מקור אחרת

שלחו פינג לצד המרוחק מהשער של IPsec, לא תקבלו תשובה ותסיקו שהמנהרה שבורה, בעוד שכל עומס עבודה מאחורי השער מעביר תעבורה כרגיל. שתי התוצאות אינן סותרות זו את זו. פינג שמתחיל בשער הוא מקטע עם מקור מקומי, והשער בוחר כתובת מקור מטבלת הניתוב שלו. הבחירה הזו יכולה להיות שונה מהכתובות שתעבורת האתר האמיתית משתמשת בהן, מה שמשנה איזו מדיניות מתאימה ואיזה נתיב חזרה חל. החליטו מה הבדיקה אמורה להוכיח לפני שאתם קוראים משהו לתוך התוצאה.

שלוש שאלות שונות שפינג יכול לענות עליהן

השאלה הראשונה היא אם הצד המרוחק נגיש בכלל מהמארח הזה. השנייה היא אם הבוררים של המנהרה או המדיניות המבוססת על נתיבים מאפשרות תעבורה ממקור מסוים. השלישית היא אם תעבורה מועברת מעומס עבודה מאחורי השער עובדת מקצה לקצה. פקודה אחת לא יכולה לענות על כל השלוש, וכתובת המקור היא מה שמפריד ביניהן.

בחרו את השאלה קודם. אחרת פינג שנכשל הופך לראיה לתיאוריה שכבר הייתה לכם.

למה השער בוחר כתובת שלא ציפיתם לה

כשאתם עושים פינג ליעד, המחסנית המקומית בוחרת מקור מהנתיב שמתאים לו. במנהרה מבוססת נתיבים זה יכול להיות כתובת הקישור של ממשק המנהרה, שבהרבה מתכנוני אתר היא זוג 169.254.x.x שנבחר עבור הקפיצה מנקודה לנקודה. הכתובות האלה קיימות כדי שהקישור יעבוד; הן לא מוכרזות כרשתות מקור של יישומים בצד המרוחק.

לכן הצד המרוחק עשוי לקבל בקשת הד למשל מכתובת שאין לו נתיב חזרה אליה, או מכזו שאף בורר לא מתאים לה. המנהרה יכולה להיות תקינה והפינג עדיין להיכשל, וזה בדיוק השלילי הכוזב שהמאמר הזה עוסק בו.

בחרו את המקור בכוונה

בשער Linux נשלט, בחרו מקור שכבר מוקצה מקומית: ping -c 4 -I 10.30.0.1 10.40.0.20. הכתובות כאן להמחשה, לכן החליפו בכתובת הפנימית האמיתית של השער וביעד מרוחק אמיתי, ואשרו שהמקור שאתם בוחרים שייך להתקן הזה ושמדיניות האתר מאפשרת אותו.

אל תשאלו כתובת של עומס עבודה לצורך הבדיקה. התחזות למארח שלא הוקצה לשער יוצרת תוצאה שאיש לא יכול לשחזר, ובחלק מהמחסניות היא נכשלת בדרכים שנראות כמו תקלה במנהרה.

קראו את נתיב החזרה, לא רק את הבקשה

בדקו איזה מקור באמת מגיע ליעד המרוחק, כולל כל תרגום מכוון בדרך. אחר כך בדקו את נתיב החזרה של הצד המרוחק למקור הזה ואת הבוררים או המדיניות שמאפשרים אותו. בקשה שמגיעה עם מקור בלתי צפוי היא שאלה של ניתוב ומדיניות, לא של הצפנה.

כאן גם לכידת מקטעים עוזרת יותר מעוד פינג: היא מראה את המקור שהצד המרוחק ראה, וזו הכתובת שהתשובה שלו צריכה להגיע אליה.

אחר כך בדקו את עומס העבודה

הבדיקה המכרעת היא פינג ממארח רגיל מאחורי השער למארח רגיל מאחורי השער המרוחק. זה מפעיל את תפקיד ההעברה של השער, את מקור היישום האמיתי ואת נתיב החזרה האמיתי, וזה הזרימה שמעניינת משתמשים.

שמרו את התוצאות בנפרד בהערות: נגישות מהשער, אישור מדיניות למקור נבחר ותעבורה מועברת. פינג מוצמד שהצליח הוא ראיה שימושית שהמנהרה נושאת משהו; הוא לא הוכחה שכל זרימה מועברת עובדת. ומקור שער שנבחר אוטומטית ואי אפשר להגיע אליו אינו הוכחה שמנהרת האתר נפלה.

אל תוסיפו נתיב כולל עבור 169.254.0.0/16 רק כדי לקבל תשובת אבחון אחת. זה מחליף בדיקה מטעה בהחלטת ניתוב קבועה, והאדם הבא יורש אותה בלי ההקשר.