Ping no IPsec vārtejas izmanto citu avota adresi

Nosūtiet ping uz otru pusi no IPsec vārtejas, nesaņemiet atbildi un seciniet, ka tunelis ir salauzts, lai gan katra darba slodze aiz vārtejas parasti pārraida datplūsmu. Šie divi rezultāti nav pretrunā. Vārtejā sākts ping ir pakete ar lokālu avotu, un vārteja izvēlas avota adresi no savas maršrutēšanas tabulas. Šī izvēle var atšķirties no adresēm, ko izmanto reālā vietnes datplūsma, un tas maina, kura politika atbilst un kurš atgriešanās maršruts ir spēkā. Pirms kaut ko nolasīt no rezultāta, izlemiet, kas testam jāpierāda.

Trīs dažādi jautājumi, uz kuriem ping var atbildēt

Pirmais jautājums ir, vai tālā puse vispār ir sasniedzama no šī resursdatora. Otrais ir, vai tuneļa selektori vai maršrutā balstītā politika pieļauj datplūsmu no noteikta avota. Trešais ir, vai no darba slodzes aiz vārtejas pārsūtītā datplūsma darbojas no gala līdz galam. Viena komanda nevar atbildēt uz visiem trim, un avota adrese ir tas, kas tos šķir.

Vispirms izvēlieties jautājumu. Citādi neveiksmīgs ping kļūst par pierādījumu tai teorijai, kas jums jau bija.

Kāpēc vārteja izvēlas adresi, kuru negaidījāt

Kad sūtāt ping uz galamērķi, lokālais steks izvēlas avotu no maršruta, kas tam atbilst. Uz maršrutā balstīta tuneļa tas var būt tuneļa saskarnes saites adrese, kas daudzos vietnes projektos ir 169.254.x.x pāris, kas izvēlēts punkta-punkta lēcienam. Šīs adreses pastāv, lai saite darbotos; tālajā pusē tās netiek izziņotas kā lietotņu avota tīkli.

Tāpēc tālā puse var saņemt atbalss pieprasījumu no adreses, uz kuru tai nav atgriešanās maršruta, vai no tādas, kurai neatbilst neviens selektors. Tunelis var būt vesels, un ping tomēr var neizdoties, un tas ir tieši tas nepatiesi negatīvais rezultāts, par ko ir šis raksts.

Izvēlieties avotu apzināti

Kontrolētā Linux vārtejā izvēlieties avotu, kas jau ir piešķirts lokāli: ping -c 4 -I 10.30.0.1 10.40.0.20. Adreses šeit ir ilustratīvas, tāpēc aizstājiet tās ar vārtejas īsto iekšējo adresi un īstu tālo galamērķi, un pārliecinieties, ka izvēlētais avots pieder šai ierīcei un ka vietnes politika to pieļauj.

Neaizņemieties darba slodzes adresi testam. Uzdošanās par resursdatoru, kas nav piešķirts vārtejai, rada rezultātu, ko neviens nevar atkārtot, un dažos stekos tas neizdodas tā, ka izskatās pēc tuneļa kļūmes.

Lasiet atgriešanās ceļu, ne tikai pieprasījumu

Pārbaudiet, kurš avots patiešām nonāk tālajā galamērķī, tostarp jebkuru apzinātu tulkojumu ceļā. Pēc tam pārbaudiet tālās puses atgriešanās maršrutu uz šo avotu un selektorus vai politiku, kas to pieļauj. Pieprasījums, kas ierodas ar negaidītu avotu, ir maršrutēšanas un politikas jautājums, nevis kriptogrāfijas.

Šeit arī pakešu uztveršana palīdz vairāk nekā vēl viens ping: tā parāda avotu, ko redzēja tālā puse, un tā ir adrese, kurai jāsasniedz tās atbilde.

Pēc tam pārbaudiet darba slodzi

Izšķirošais tests ir ping no parasta resursdatora aiz vārtejas uz parastu resursdatoru aiz tālās vārtejas. Tas trenē vārtejas pārsūtīšanas lomu, īsto lietotnes avotu un īsto atgriešanās ceļu, un tas ir plūsma, kas lietotājiem rūp.

Glabājiet rezultātus atsevišķi savās piezīmēs: sasniedzamība no vārtejas, politikas atļauja izvēlētajam avotam un pārsūtītā datplūsma. Veiksmīgs piesprausts ping ir noderīgs pierādījums, ka tunelis kaut ko pārvadā; tas nav pierādījums, ka darbojas katra pārsūtītā plūsma. Un automātiski izvēlēts vārtejas avots, kas nav sasniedzams, nav pierādījums, ka vietnes tunelis ir izslēgts.

Nepievienojiet vispārīgu maršrutu 169.254.0.0/16 tikai tāpēc, lai iegūtu vienu diagnostikas atbildi. Tas apmaina maldinošu testu pret pastāvīgu maršrutēšanas lēmumu, un nākamais cilvēks to manto bez konteksta.