IPsec шлюзінен жасалған ping басқа бастауыш мекенжайды пайдаланады

IPsec шлюзінен алыс жаққа ping жіберіңіз, жауап алмай, туннель бүлінген деп қорытынды жасаңыз, ал шлюздің артындағы әрбір жұмыс жүктемесі трафикті қалыпты өткізіп жатыр. Бұл екі нәтиже бір-біріне қайшы емес. Шлюзде басталған ping — жергілікті бастауы бар пакет, ал шлюз мекенжайды өзінің маршруттау кестесінен таңдайды. Бұл таңдау нақты сайт трафигі пайдаланатын мекенжайлардан өзгеше болуы мүмкін, бұл қай саясат сәйкес келетінін және қай қайтару жолы қолданылатынын өзгертеді. Нәтижеден қандай да бір қорытынды жасамас бұрын тесттің нені дәлелдеуі керектігін шешіңіз.

Ping жауап бере алатын үш түрлі сұрақ

Бірінші сұрақ — алыс жақ осы хосттан мүлдем қолжетімді ме. Екіншісі — туннельдің селекторлары немесе маршрутқа негізделген саясат белгілі бір бастаудан трафикті жібере ме. Үшіншісі — шлюздің артындағы жұмыс жүктемесінен жіберілген трафик ұшынан ұшына дейін жұмыс істей ме. Бір команда үшеуіне де жауап бере алмайды, ал оларды бастауыш мекенжай ажыратады.

Алдымен сұрақты таңдаңыз. Әйтпесе сәтсіз ping сізде бұрыннан болған теорияның дәлеліне айналады.

Шлюз неге күтпеген мекенжайды таңдайды

Белгілі бір мақсатқа ping жасағанда, жергілікті стек оған сәйкес келетін маршруттан бастауды таңдайды. Маршрутқа негізделген туннельде бұл туннель интерфейсінің байланыс мекенжайы болуы мүмкін, ол көптеген сайт жобаларында нүктеден нүктеге секіру үшін таңдалған 169.254.x.x жұбы. Бұл мекенжайлар байланыс жұмыс істеуі үшін бар; олар алыс жақта қолданбалардың бастау желілері ретінде жарияланбайды.

Осылайша алыс жақ қайтару жолы жоқ мекенжайдан немесе ешбір селектор сәйкес келмейтін мекенжайдан жаңғырық сұранысын алуы мүмкін. Туннель сау болуы мүмкін, ал ping бәрібір сәтсіз аяқталуы мүмкін, және бұл дәл осы мақала айтып отырған жалған теріс нәтиже.

Бастауды әдейі таңдаңыз

Бақыланатын Linux шлюзінде бұрыннан жергілікті тағайындалған бастауды таңдаңыз: ping -c 4 -I 10.30.0.1 10.40.0.20. Мұндағы мекенжайлар мысал ретінде берілген, сондықтан шлюздің нақты ішкі мекенжайымен және нақты алыс мақсатпен алмастырыңыз, сондай-ақ таңдаған бастауыңыз осы құрылғыға тиесілі екенін және сайт саясаты оны жіберетінін растаңыз.

Тест үшін жұмыс жүктемесінің мекенжайын қарызға алмаңыз. Шлюзге тағайындалмаған хостты бейнелеу ешкім қайталай алмайтын нәтиже жасайды, ал кейбір стектерде ол туннель ақауына ұқсайтын түрде сәтсіз аяқталады.

Тек сұранысты емес, қайтару жолын да оқыңыз

Алыс мақсатқа қай бастау шынымен жететінін, жолдағы кез келген әдейі аударманы қоса тексеріңіз. Содан кейін алыс жақтың сол бастауға қайтару маршрутын және оған рұқсат беретін селекторларды немесе саясатты тексеріңіз. Күтпеген бастаумен келген сұраныс — маршруттау мен саясат мәселесі, криптография емес.

Мұнда тағы бір pingнен гөрі пакеттерді ұстау көбірек көмектеседі: ол алыс жақ көрген бастауды көрсетеді, ал оның жауабы жетуі тиіс мекенжай — сол.

Содан кейін жұмыс жүктемесін тексеріңіз

Шешуші тест — шлюздің артындағы қарапайым хосттан алыс шлюздің артындағы қарапайым хостқа ping. Бұл шлюздің жіберу рөлін, қолданбаның нақты бастауын және шынайы қайтару жолын сынайды, ал пайдаланушыларға керегі — осы ағын.

Нәтижелерді жазбаларыңызда бөлек ұстаңыз: шлюзден қолжетімділік, таңдалған бастау үшін саясаттың рұқсаты және жіберілген трафик. Сәтті бекітілген ping туннельдің бірдеңе тасымалдайтынының пайдалы дәлелі, бірақ әрбір жіберілген ағын жұмыс істейтінінің дәлелі емес. Ал қолжеткізу мүмкін емес автоматты түрде таңдалған шлюз бастауы сайт туннелінің өшкенінің дәлелі емес.

Тек бір диагностикалық жауап алу үшін 169.254.0.0/16 үшін жалпы маршрут қоспаңыз. Бұл жаңылыстыратын тестті тұрақты маршруттау шешіміне айырбастайды, ал келесі адам оны мәтінмәнсіз мұраға алады.