Ping vun der IPsec-Gateway benotzt eng aner Quelladress

Pingt déi aner Säit vun der IPsec-Gateway aus un, kritt keng Äntwert a schléisst, datt den Tunnel futti ass, während all Aarbechtslaascht hannert der Gateway normalen Traffic duerchléisst. Déi zwou Resultater widerspriechen sech net. E Ping, deen op der Gateway gestart gëtt, ass e Pak mat enger lokaler Quell, an d’Gateway wielt eng Quelladress aus hirer eegener Routingtabell. Déi Wiel kann sech vun den Adressen ënnerscheeden, déi de richtege Site-Traffic benotzt, wat ännert, wéi eng Politik passt a wéi ee Retourwee gëllt. Entscheit, wat den Test beweise soll, ier Dir eppes an d’Resultat era liest.

Dräi verschidde Froen, op déi e Ping äntwere kann

Déi éischt Fro ass, ob déi aner Säit iwwerhaapt vun dësem Host aus erreechbar ass. Déi zweet ass, ob d’Selektore vum Tunnel oder d’Politik op Basis vu Routen den Traffic vun enger bestëmmter Quell zouloossen. Déi drëtt ass, ob de weidergeleet Traffic vun enger Aarbechtslaascht hannert der Gateway vun Enn zu Enn funktionéiert. Een eenzegen Uerder kann net all dräi beäntweren, an d’Quelladress ass dat, wat se trennt.

Wielt d’Fro als éischt. Soss gëtt e fehlgeschloe Ping den Beweis fir déi Theorie, déi Dir schonn hutt.

Firwat d’Gateway eng Adress wielt, déi Dir net erwaart hutt

Wann Dir en Zil pingt, wielt de lokale Stack eng Quell aus der Route, déi dozou passt. Op engem Tunnel op Basis vu Routen kann dat d’Linkadress vum Tunnelinterface sinn, déi a ville Site-Entwërf en 169.254.x.x-Puer ass, dat fir de Punkt-zu-Punkt-Hop gewielt gouf. Déi Adressen existéieren, fir datt de Link funktionéiert; se ginn op der anerer Säit net als Applikatiounsquellnetz annoncéiert.

Dofir kann déi aner Säit eng Echo-Ufro vun enger Adress kréien, op déi se kee Retourwee huet, oder vun enger, déi keen Selektor entsprécht. Den Tunnel kann gesond sinn an de Ping kann awer feelen, an dat ass genee dee falschen Negativen, ëm deen et an dësem Artikel geet.

Wielt d’Quell bewosst

Op enger kontrolléierter Linux-Gateway wielt eng Quell, déi schonn lokal zougewisen ass: ping -c 4 -I 10.30.0.1 10.40.0.20. D’Adressen hei sinn illustrativ, also ersetzt déi richteg bannenzeg Adress vun der Gateway an en richtegt wäit Zil, a bestätegt, datt d’Quell, déi Dir wielt, zu dësem Apparat gehéiert a vun der Site-Politik zougelooss gëtt.

Leit keng Adress vun enger Aarbechtslaascht fir den Test. Engem Host, deen net der Gateway zougewisen ass, nozeimmen, schaaft en Resultat, dat keen nozeele kann, an op e puer Stäcken feelt et op eng Manéier, déi wéi en Tunnelfehler ausgesäit.

Liest de Retourwee, net just d’Ufro

Kuckt, wéi eng Quell tatsächlech um wäiten Zil ukommt, inklusiv all bewosster Iwwersetzung ënnerwee. Kuckt duerno de Retourwee vun der anerer Säit op déi Quell an d’Selektoren oder d’Politik, déi se zouloossen. Eng Ufro, déi mat enger onerwaarter Quell ukommt, ass eng Fro vu Routing a Politik, net vun der Kryptografie.

Hei hëlleft och e Paketopfank méi wéi nach e Ping: en weist d’Quell, déi déi aner Säit gesinn huet, an dat ass d’Adress, déi seng Äntwert muss erreechen.

Test dann d’Aarbechtslaascht

Den entscheedende Test ass e Ping vun engem gewéinlechen Host hannert der Gateway op en gewéinlechen Host hannert der wäiter Gateway. Dat üübt d’Weiderleetungsroll vun der Gateway, déi richteg Applikatiounsquell an de richtege Retourwee aus, an dat ass de Flux, ëm deen et de Benotzer geet.

Halt d’Resultater getrennt an Ären Notizen: Erreechbarkeet vun der Gateway, Politikszouloossung fir eng gewielte Quell, a weidergeleet Traffic. E erfollegräich fixéierte Ping ass en nëtzlechen Beweis, datt den Tunnel eppes dréit; et ass kee Beweis, datt all weidergeleet Flux funktionéiert. An eng automatesch gewielte Gateway-Quell, déi net erreechbar ass, ass kee Beweis, datt den Site-Tunnel erof ass.

Füügt keng allgemeng Route fir 169.254.0.0/16 derbäi, just fir eng diagnostesch Äntwert ze kréien. Dat tauscht en irreführenden Test géint eng permanent Routingentscheedung, an déi nächst Persoun ierft se ouni de Kontext.