Ping nije dokaz: provjerite put između dvije lokacije

Tunel je podignut, pristupnici odgovaraju jedan drugom, a korisnici na jednoj lokaciji i dalje ne mogu otvoriti dijeljeni direktorij na drugoj. Netko pinga s pristupnika, dobije odgovor i proglasi mrežu zdravom. Taj je odgovor putovao između dva uređaja koji nikada nisu bili problem. Koristan test počinje na hostu kojem usluga treba, koristi protokol koji aplikacija koristi i reproducira uvjet pod kojim ne uspijeva. Sve ostalo je zeleno svjetlo za put kojim nitko ne ide.

Počnite na klijentu kojem usluga treba

Zapišite četiri stvari prije bilo kakvog testiranja: adresu klijenta, odredišnu adresu, naziv hosta i port aplikacije. Zatim potvrdite da usluga radi lokalno na svojoj lokaciji, s hosta pored nje. Bez te osnovne linije ne možete razlikovati pokvaren tunel od pokvarene usluge, a polovica ovih zahtjeva je drugo.

Isprobajte dokumentirani naziv hosta i, gdje usluga dopušta, provjeru izravne adrese istog porta. Neuspješna pretraga naziva i nedostupna razriješena adresa vode vas različitim putevima. Ako zamijenite naziv hosta IP adresom, nemojte isključiti provjeru identiteta HTTPS-a da bi proradilo; upozorenje o certifikatu je informacija, a ne prepreka.

Prođite put na svakom rubu

Pročitajte rutu koju klijent odabire, zatim rutu koju pristupnik odabire za to odredište, zatim brojače ili ograničeno snimanje na svakom rubu. Tražite dvije činjenice: je li zahtjev stigao na udaljenu lokalnu mrežu i je li se odgovor vratio. Brojači sučelja uključuju svaki drugi tok, pa povežite po točnom vremenu i paru adresa, a ne po obliku grafikona. Snimanje na pogrešnom rubu gore je od nikakvog, jer izgleda kao dokaz.

ip route get 10.10.0.5
sudo tcpdump -ni any host 10.10.0.5 and port 445
sudo tcpdump -ni any net 10.10.0.0/24 and net 10.20.0.0/24

Ako se zahtjev pojavi na udaljenom rubu bez odgovora iza njega, problem je na drugoj strani: vatrozid, nedostajuća povratna ruta ili host koji ne prihvaća izvor. Ako se zahtjev nikada ne pojavi, lokalna ruta ili selektori tunela nisu ga prenijeli, a druga strana još nije vrijedna istrage.

Upotrijebite protokol koji aplikacija koristi

ICMP je slab test. Može se filtrirati, ograničiti brzinom ili obrađivati drugom politikom od usluge, što i njegov uspjeh i njegov neuspjeh čini dvosmislenima. Testirajte stvarni port i, gdje možete, stvarno rukovanje protokolom.

nc -vz 10.10.0.5 445
curl -sv --max-time 5 https://files.corp.internal/ -o /dev/null
openssl s_client -connect 10.10.0.5:443 -servername files.corp.internal

Dovršeno TCP rukovanje dokazuje dostupnost i politiku za taj port. Ne dokazuje da aplikacija radi: autentifikacija, prijenos ili određeni poziv API-ja još uvijek mogu ne uspjeti. Testirajte radnju koju korisnici doista izvode, koristeći bezopasni ekvivalent umjesto ponovnog slanja stvarne transakcije.

Reproducirajte uvjet koji ne uspijeva

Neuspjesi koji se pojavljuju samo kod velikih prijenosa problem su veličine, a ne povezanosti. Pošaljite veliki paket s postavljenim don't-fragment bitom i gledajte gdje se zaustavlja. Ako mali zahtjev uspije, a veliki se zablokira, MTU tunela i obrada MSS-a na pristupnicima su sljedeći sumnjivci.

ping -M do -s 1400 10.10.0.5
ping -M do -s 1472 10.10.0.5
curl -sS --max-time 30 -F file=@./sample.bin https://files.corp.internal/upload

Ako ne uspijeva samo jedna podmreža, pogledajte selektore prometa, objave ruta i povratni pristupnik te podmreže. Ako ne uspijeva samo naziv hosta, slijedite DNS, uključujući koji je razrješivač klijent koristio i je li udaljeni prikaz vidljiv s te lokacije. Tri različita kvara, tri različita rješenja, a ping test ne razlikuje nijedan od njih.

Nakon popravka ponovite isti test

Ponovno pokrenite isti klijent, odredište, port i sadržaj. Zatim se ponovno povežite ili isprobajte put prebacivanja ako ga dizajn ima, jer popravak koji radi samo dok je izvorna instanca tunela živa nije testiran. Držite test vezan uz stvarni izvor, stvarno odredište i stvarnu radnju, a ne uz jedan zeleni pokazatelj na nadzornoj ploči.

Zabilježite četiri osnovne vrijednosti i rezultat. Sljedeće izvješće o istom simptomu tada može početi od dokaza, a ne od pinga.