Ping dari gateway IPsec memakai alamat sumber yang berbeda

Ping sisi jauh dari gateway IPsec, tidak dapat jawaban, lalu simpulkan terowongan rusak, padahal setiap beban kerja di belakang gateway mengirim lalu lintas dengan normal. Kedua hasil itu tidak bertentangan. Ping yang dijalankan di gateway adalah paket bersumber lokal, dan gateway memilih alamat sumber dari tabel ruteknya sendiri. Pilihan itu bisa berbeda dari alamat yang dipakai lalu lintas situs sebenarnya, sehingga berubah kebijakan mana yang cocok dan jalur balik mana yang berlaku. Tentukan apa yang harus dibuktikan pengujian sebelum membaca apa pun dari hasilnya.

Tiga pertanyaan berbeda yang bisa dijawab ping

Pertanyaan pertama adalah apakah sisi jauh sama sekali bisa dijangkau dari host ini. Kedua, apakah selector terowongan atau kebijakan berbasis rute mengizinkan lalu lintas dari sumber tertentu. Ketiga, apakah lalu lintas yang diteruskan dari beban kerja di belakang gateway bekerja dari ujung ke ujung. Satu perintah tidak bisa menjawab ketiganya, dan alamat sumberlah yang memisahkannya.

Pilih pertanyaannya dulu. Kalau tidak, ping yang gagal menjadi bukti bagi teori yang sudah Anda punya.

Mengapa gateway memilih alamat yang tidak Anda duga

Saat Anda ping sebuah tujuan, tumpukan lokal memilih sumber dari rute yang cocok dengannya. Pada terowongan berbasis rute itu bisa berupa alamat tautan antarmuka terowongan, yang di banyak rancangan situs adalah pasangan 169.254.x.x yang dipilih untuk lompatan titik ke titik. Alamat itu ada agar tautan bekerja; alamat itu tidak diumumkan sebagai jaringan sumber aplikasi di sisi jauh.

Jadi sisi jauh bisa menerima permintaan gema dari alamat yang tidak punya rute balik ke sana, atau dari alamat yang tidak cocok dengan selector mana pun. Terowongan bisa sehat dan ping tetap gagal, dan itulah tepatnya negatif palsu yang dibahas artikel ini.

Pilih sumbernya dengan sengaja

Di gateway Linux yang terkendali, pilih sumber yang sudah ditetapkan secara lokal: ping -c 4 -I 10.30.0.1 10.40.0.20. Alamat di sini ilustratif, jadi ganti dengan alamat dalam gateway yang sebenarnya dan tujuan jauh yang sebenarnya, lalu pastikan sumber yang Anda pilih milik perangkat ini dan diizinkan kebijakan situs.

Jangan meminjam alamat beban kerja untuk pengujian. Menyamar sebagai host yang tidak ditetapkan ke gateway menciptakan hasil yang tidak bisa diulang siapa pun, dan pada sebagian tumpukan gagal dengan cara yang tampak seperti kerusakan terowongan.

Baca jalur balik, bukan hanya permintaannya

Periksa sumber mana yang benar-benar tiba di tujuan jauh, termasuk penerjemahan yang disengaja di sepanjang jalan. Lalu periksa rute balik sisi jauh ke sumber itu dan selector atau kebijakan yang mengizinkannya. Permintaan yang tiba dengan sumber tak terduga adalah soal perutean dan kebijakan, bukan kriptografi.

Di sinilah penangkapan paket lebih membantu daripada ping lain: ia menunjukkan sumber yang dilihat sisi jauh, dan itulah alamat yang harus dicapai balasannya.

Lalu uji beban kerjanya

Pengujian yang menentukan adalah ping dari host biasa di belakang gateway ke host biasa di belakang gateway jauh. Itu melatih peran penerusan gateway, sumber aplikasi yang sebenarnya, dan jalur balik yang sesungguhnya, yaitu aliran yang dipedulikan pengguna.

Simpan hasilnya terpisah di catatan Anda: keterjangkauan dari gateway, izin kebijakan untuk sumber terpilih, dan lalu lintas yang diteruskan. Ping tersemat yang berhasil adalah bukti berguna bahwa terowongan membawa sesuatu; itu bukan bukti bahwa setiap aliran yang diteruskan bekerja. Dan sumber gateway yang dipilih otomatis tetapi tidak bisa dijangkau bukan bukti bahwa terowongan situs mati.

Jangan menambahkan rute menyeluruh untuk 169.254.0.0/16 hanya agar mendapat satu jawaban diagnostik. Itu menukar pengujian yang menyesatkan dengan keputusan perutean permanen, dan orang berikutnya mewarisinya tanpa konteks.