Ping од IPsec портата користи друга изворна адреса

Пушти ping од IPsec портата кон далечната страна, не добиј одговор и заклучи дека тунелот е расипан, а секој работен товар зад портата нормално пренесува сообраќај. Двата резултати не се противречат. Ping започнат на портата е пакет со локален извор, а портата избира изворна адреса од својата табела за насочување. Тој избор може да се разликува од адресите што ги користи вистинскиот сообраќај на локацијата, што менува која политика се совпаѓа и која повратна рута важи. Одлучи што треба тестот да докаже пред да прочиташ нешто во неговиот резултат.

Три различни прашања на кои ping може да одговори

Првото прашање е дали далечната страна воопшто е достапна од овој домаќин. Второто е дали селекторите на тунелот или политиката заснована на рути го пропуштаат сообраќајот од одреден извор. Третото е дали проследениот сообраќај од работен товар зад портата работи од крај до крај. Една команда не може да одговори на сите три, а изворната адреса е тоа што ги дели.

Најпрво избери го прашањето. Инаку неуспешниот ping станува доказ за теоријата што веќе ја имаше.

Зошто портата избира адреса што не си ја очекувал

Кога пингуваш дестинација, локалниот стек избира извор од рутата што се совпаѓа со неа. На тунел заснован на рути тоа може да биде адресата на врската на интерфејсот на тунелот, која во многу проекти на локација е пар 169.254.x.x избран за скокот точка-точка. Тие адреси постојат за врската да работи; тие не се објавуваат како мрежи на извор на апликации на далечната страна.

Така далечната страна може да прими барање за ехо од адреса кон која нема повратна рута, или од онаа со која не се совпаѓа ниту еден селектор. Тунелот може да биде здрав, а ping-от сепак да не успее, и тоа е точно тој лажно негативен резултат за кој е овој напис.

Избери го изворот намерно

На контролирана Linux порта, избери извор што веќе е локално доделен: ping -c 4 -I 10.30.0.1 10.40.0.20. Адресите овде се илустративни, затоа замени ги со вистинската внатрешна адреса на портата и вистинска далечна дестинација, и потврди дека избраниот извор припаѓа на овој уред и дека политиката на локацијата го дозволува.

Не позајмувај ја адресата на работниот товар за тестот. Претставувањето како домаќин што не е доделен на портата создава резултат што никој не може да го повтори, а на некои стекови тоа не успева на начин што изгледа како дефект на тунелот.

Читај ја повратната патека, не само барањето

Провери кој извор навистина пристигнува на далечната дестинација, вклучително секое намерно преведување на патот. Потоа провери ја повратната рута на далечната страна кон тој извор и селекторите или политиката што го дозволуваат. Барањето што пристигнува со неочекуван извор е прашање на насочување и политика, не на криптографија.

Тука исто така фаќањето пакети помага повеќе од уште еден ping: го покажува изворот што го виде далечната страна, а тоа е адресата што неговиот одговор мора да ја достигне.

Потоа тестирај го работниот товар

Одлучувачкиот тест е ping од обичен домаќин зад портата кон обичен домаќин зад далечната порта. Тоа ја вежба улогата на портата во проследувањето, вистинскиот извор на апликацијата и вистинската повратна патека, а тоа е текот што им е важен на корисниците.

Држи ги резултатите одделно во белешките: достапност од портата, дозвола од политиката за избран извор и проследен сообраќај. Успешниот закачен ping е корисен доказ дека тунелот носи нешто; тоа не е доказ дека секој проследен тек работи. А автоматски избраниот извор на портата до кој не може да се стигне не е доказ дека тунелот на локацијата е паднат.

Не додавај општа рута за 169.254.0.0/16 само за да добиеш еден дијагностички одговор. Тоа разменува тест што заведува за трајна одлука за насочување, а следната личност ја наследува без контекстот.