IPsec гарцаас хийсэн ping өөр эх хаяг ашиглана

IPsec гарцаас хол тал руу ping илгээж, хариу аваагүй тул туннель эвдэрсэн гэж дүгнэ, гэтэл гарцын ард байгаа ажлын ачаалал бүр трафикийг хэвийн дамжуулж байна. Эдгээр хоёр үр дүн зөрчилдөхгүй. Гарц дээр эхэлсэн ping нь локал эхтэй пакет бөгөөд гарц эх хаягийг өөрийн чиглүүлэлтийн хүснэгтээс сонгодог. Энэ сонголт нь сайтын бодит трафикийн ашигладаг хаягуудаас ялгаатай байж болох бөгөөд энэ нь аль бодлого таарч, аль буцах зам хэрэгжихийг өөрчилнө. Үр дүнгээс ямар нэгэн дүгнэлт хийхээс өмнө тест юуг нотлох ёстойгоо шийдээрэй.

Ping хариулж болох гурван өөр асуулт

Эхний асуулт нь энэ хостээс хол тал руу ерөнхийдөө хүрч болох эсэх. Хоёр дахь нь туннелийн селекторууд эсвэл замд суурилсан бодлого тодорхой эхээс ирсэн трафикийг зөвшөөрдөг эсэх. Гурав дахь нь гарцын ард байгаа ажлын ачааллаас дамжуулсан трафик эхнээс төгсгөл хүртэл ажилладаг эсэх. Нэг команд гурвуулаанд хариулж чадахгүй бөгөөд тэдгээрийг эх хаяг нь ялгадаг.

Эхлээд асуултаа сонго. Эс бөгөөс бүтэлгүйтсэн ping чамд урьд нь байсан онолын нотолгоо болно.

Гарц яагаад таны хүлээгээгүй хаягыг сонгодог вэ

Ямар нэгэн очих газарт ping хийхэд локал стек түүнд тохирох замаас эхийг сонгодог. Замд суурилсан туннельд энэ нь туннелийн интерфейсийн холбоосын хаяг байж болох бөгөөд олон сайтын загварт энэ нь цэгээс цэг хүрэх үсрэлтэд сонгосон 169.254.x.x хос юм. Эдгээр хаяг холбоос ажиллахын тулд оршдог; хол талд тэдгээрийг програмын эх сүлжээ гэж зарладаггүй.

Тиймээс хол тал нь буцах замгүй хаягаас эсвэл ямар ч селектор таарахгүй хаягаас цуурайн хүсэлт хүлээн авч болно. Туннель эрүүл байж болох ч ping бүтэлгүйтсээр байж болох бөгөөд энэ нь яг энэ өгүүлэл ярьж буй хуурамч сөрөг үр дүн юм.

Эхээ санаатайгаар сонго

Хяналттай Linux гарц дээр аль хэдийн локалаар олгогдсон эхийг сонго: ping -c 4 -I 10.30.0.1 10.40.0.20. Энд байгаа хаягууд жишээ бөгөөд гарцын бодит дотоод хаяг болон бодит холын очих газраар солиод, сонгосон эх чинь энэ төхөөрөмжид хамаарах бөгөөд сайтын бодлого зөвшөөрдөг эсэхийг баталгаажуул.

Тестийн тулд ажлын ачааллын хаягыг зээлж болохгүй. Гарцад олгогдоогүй хост мэт дүр эсгэх нь хэн ч давтаж чадахгүй үр дүн үүсгэдэг бөгөөд зарим стек дээр энэ нь туннелийн гэмтэл мэт харагдах байдлаар бүтэлгүйтдэг.

Зөвхөн хүсэлтийг бус буцах замыг ч унш

Холын очих газарт яг аль эх хүрдгийг, замд гарсан аливаа санаатай орчуулгыг оруулан шалга. Дараа нь хол талын тэр эх рүү буцах зам болон түүнийг зөвшөөрдөг селекторууд эсвэл бодлогыг шалга. Гэнэтийн эхтэй ирсэн хүсэлт нь чиглүүлэлт ба бодлогын асуудал бөгөөд криптограф биш.

Энд бас дахин нэг ping-ээс илүү пакет барих нь тус болдог: хол талын харсан эхийг харуулдаг бөгөөд түүний хариу хүрэх ёстой хаяг нь тэр.

Дараа нь ажлын ачааллыг турш

Шийдвэрлэх тест нь гарцын ард байгаа энгийн хостээс хол гарцын ард байгаа энгийн хост руу ping хийх юм. Энэ нь гарцын дамжуулах үүрэг, програмын бодит эх, жинхэнэ буцах замыг турших бөгөөд хэрэглэгчдэд чухал урсгал нь энэ.

Үр дүнгээ тэмдэглэлдээ тус тусад нь хадгал: гарцаас хүрэх боломж, сонгосон эхэд бодлогын зөвшөөрөл, дамжуулсан трафик. Амжилттай бэхэлсэн ping нь туннель ямар нэгэн зүйл зөөж байгаагийн ашигтай нотолгоо; энэ нь дамжуулсан урсгал бүр ажилладаг гэсэн нотолгоо биш. Харин хүрч болохгүй автоматаар сонгосон гарцын эх нь сайтын туннель унасан гэсэн нотолгоо биш.

Зөвхөн нэг оношлогооны хариу авахын тулд 169.254.0.0/16-д ерөнхий зам нэмэх хэрэггүй. Энэ нь төөрөгдүүлсэн тестийг байнгын чиглүүлэлтийн шийдвэрээр сольж, дараагийн хүн түүнийг контекстгүйгээр өвлөнө.