Ping не е доказ: проверете патеката меѓу две локации

Пингот од портата не кажува ништо за услугата. Изминете ја патеката од вистински клиент, користете го протоколот на апликацијата и репродуцирајте ја големината или името што не успева.

Тунелот е кренат, портите си одговараат, а корисниците на едната локација се уште не можат да ја отворат споделената папка на другата. Некој пингува од портата, добива одговор и ја прогласува мрежата здрава. Тој одговор патувал меѓу два уреда кои никогаш не биле проблемот. Корисниот тест започнува на домаќинот на кој му треба услугата, го користи протоколот што го користи апликацијата и ја репродуцира состојбата во која таа не успева. Сето друго е зелено светло за патека по која никој не оди.

Започнете од клиентот на кој му треба услугата

Запишете четири работи пред да тестирате нешто: адресата на клиентот, адресата на крајот, името на домаќинот и портата на апликацијата. Потоа потврдете дека услугата работи локално на својата локација, од домаќин до неа. Без оваа основна линија не можете да разликувате расипан тунел од расипана услуга, а половината од овие билети е втората.

Пробајте го документираното име на домаќинот и, каде што услугата дозволува, проверка на директната адреса на истата порта. Неуспешното пребарување на име и недостапната решена адреса ве водат по различни патеки. Ако замените име на домаќин со IP, не ја исклучувајте проверката на идентитетот на HTTPS за да работи; предупредувањето за сертификат е информација, не пречка.

Изминете ја патеката на секој раб

Прочитајте ја рутата што ја избира клиентот, потоа рутата што ја избира портата за таа дестинација, потоа бројачите или ограничено снимање на секој раб. Барате два факти: дали барањето стигна до оддалечената локална мрежа и дали се врати одговор. Бројачите на интерфејсот ги вклучуваат сите други текови, затоа поврзете по точен временски печат и пар адреси, а не по формата на графиконот. Снимање на погрешниот раб е полошо од никакво, зашто изгледа како доказ.

ip route get 10.10.0.5
sudo tcpdump -ni any host 10.10.0.5 and port 445
sudo tcpdump -ni any net 10.10.0.0/24 and net 10.20.0.0/24

Ако барањето се појави на оддалечениот раб без одговор зад него, проблемот е на другата страна: заштитен ѕид, рута за враќање што недостига или домаќин што не го прифаќа изворот. Ако барањето никогаш не се појави, локалната рута или селекторите на тунелот не го пренеле, и другата страна се уште не вреди да се истражи.

Користете го протоколот што го користи апликацијата

ICMP е слаба проверка. Може да се филтрира, ограничи по брзина или да се обработува со друга политика од услугата, што и успехот и неуспехот го прават двосмислени. Тестирајте ја вистинската порта и, каде што можете, вистинското ракување на протоколот.

nc -vz 10.10.0.5 445
curl -sv --max-time 5 https://files.corp.internal/ -o /dev/null
openssl s_client -connect 10.10.0.5:443 -servername files.corp.internal

Завршено TCP ракување докажува достапност и политика за таа порта. Тоа не докажува дека апликацијата работи: автентикацијата, прикачувањето или конкретниот повик на API се уште може да не успее. Тестирајте ја операцијата што корисниците навистина ја извршуваат, со безопасен еквивалент наместо постојано поднесување вистинска трансакција.

Репродуцирајте ја состојбата во која не успева

Неуспесите што се појавуваат само при големи преноси се проблем со големината, не со поврзаноста. Испратете голем пакет со поставен don't-fragment бит и гледајте каде запира. Ако мало барање успее, а големо заглави, MTU на тунелот и обработката на MSS на портите се следните сомнителни.

ping -M do -s 1400 10.10.0.5
ping -M do -s 1472 10.10.0.5
curl -sS --max-time 30 -F file=@./sample.bin https://files.corp.internal/upload

Ако не успева само една подмрежа, погледнете ги селекторите на сообраќај, објавите на рути и портата за враќање на таа подмрежа. Ако не успева само името на домаќинот, следете DNS, вклучително кој резолвер го користел клиентот и дали оддалечениот поглед е видлив од таа локација. Три различни дефекти, три различни поправки, а тестот со пинг не разликува ниту еден.

По поправката повторете го истиот тест

Стартувајте го повторно истиот клиент, дестинација, порта и товар. Потоа поврзете се повторно или пробајте ја резервната патека ако дизајнот ја има, зашто поправка што работи само додека е жива оригиналната инстанца на тунелот не е тестирана. Држете го тестот врзан за вистински извор, вистинска дестинација и вистинска операција, а не за еден зелен показател на табла.

Запишете ги четирите основни вредности и резултатот. Следниот извештај за истиот симптом тогаш може да започне од докази, а не од пинг.

Поврзани статии