Ping dari gateway IPsec menggunakan alamat sumber yang berbeza

Ping bahagian jauh dari gateway IPsec, tidak dapat jawapan lalu simpulkan terowong rosak, padahal setiap beban kerja di belakang gateway menyalurkan trafik seperti biasa. Kedua-dua hasil itu tidak bercanggah. Ping yang dimulakan pada gateway ialah paket bersumber setempat, dan gateway memilih alamat sumber daripada jadual penghalaannya sendiri. Pilihan itu boleh berbeza daripada alamat yang digunakan oleh trafik tapak sebenar, yang mengubah dasar mana yang sepadan dan laluan balik mana yang terpakai. Tentukan apa yang perlu dibuktikan oleh ujian sebelum membaca apa-apa daripada hasilnya.

Tiga soalan berbeza yang boleh dijawab oleh ping

Soalan pertama ialah sama ada bahagian jauh boleh dicapai langsung dari hos ini. Kedua, sama ada pemilih terowong atau dasar berasaskan laluan membenarkan trafik daripada sumber tertentu. Ketiga, sama ada trafik yang diteruskan daripada beban kerja di belakang gateway berfungsi dari hujung ke hujung. Satu arahan tidak dapat menjawab ketiga-tiganya, dan alamat sumberlah yang memisahkannya.

Pilih soalan itu dahulu. Jika tidak, ping yang gagal menjadi bukti bagi teori yang anda sudah ada.

Mengapa gateway memilih alamat yang anda tidak jangkakan

Apabila anda ping sesuatu destinasi, tindanan setempat memilih sumber daripada laluan yang sepadan dengannya. Pada terowong berasaskan laluan itu boleh menjadi alamat pautan antara muka terowong, yang dalam banyak reka bentuk tapak ialah pasangan 169.254.x.x yang dipilih untuk hop titik ke titik. Alamat itu wujud supaya pautan berfungsi; ia tidak diumumkan sebagai rangkaian sumber aplikasi di bahagian jauh.

Jadi bahagian jauh mungkin menerima permintaan gema daripada alamat yang tiada laluan balik ke sana, atau daripada alamat yang tiada pemilih sepadan. Terowong boleh sihat dan ping masih boleh gagal, dan itulah tepatnya negatif palsu yang dibincangkan artikel ini.

Pilih sumber dengan sengaja

Pada gateway Linux yang terkawal, pilih sumber yang sudah ditetapkan secara setempat: ping -c 4 -I 10.30.0.1 10.40.0.20. Alamat di sini adalah ilustrasi, jadi gantikan dengan alamat dalaman sebenar gateway dan destinasi jauh sebenar, dan pastikan sumber yang anda pilih milik peranti ini dan dibenarkan oleh dasar tapak.

Jangan pinjam alamat beban kerja untuk ujian. Menyamar sebagai hos yang tidak ditetapkan kepada gateway mencipta hasil yang tiada siapa dapat mengulanginya, dan pada sesetengah tindanan ia gagal dengan cara yang kelihatan seperti kerosakan terowong.

Baca laluan balik, bukan hanya permintaan

Periksa sumber mana yang benar-benar tiba di destinasi jauh, termasuk sebarang terjemahan yang disengajakan di sepanjang jalan. Kemudian periksa laluan balik bahagian jauh ke sumber itu dan pemilih atau dasar yang membenarkannya. Permintaan yang tiba dengan sumber tidak dijangka ialah soal penghalaan dan dasar, bukan kriptografi.

Di sinilah tangkapan paket lebih membantu daripada ping lain: ia menunjukkan sumber yang dilihat oleh bahagian jauh, dan itulah alamat yang perlu dicapai oleh balasannya.

Kemudian uji beban kerja itu

Ujian penentu ialah ping daripada hos biasa di belakang gateway ke hos biasa di belakang gateway jauh. Itu melatih peranan penghantaran gateway, sumber aplikasi sebenar dan laluan balik sebenar, iaitu aliran yang diambil berat oleh pengguna.

Simpan hasil secara berasingan dalam nota anda: ketersampaian dari gateway, kebenaran dasar untuk sumber terpilih, dan trafik yang diteruskan. Ping tersemat yang berjaya ialah bukti berguna bahawa terowong membawa sesuatu; ia bukan bukti bahawa setiap aliran yang diteruskan berfungsi. Dan sumber gateway yang dipilih secara automatik tetapi tidak dapat dicapai bukan bukti bahawa terowong tapak sudah mati.

Jangan tambah laluan menyeluruh untuk 169.254.0.0/16 semata-mata untuk mendapat satu jawapan diagnostik. Itu menukar ujian yang mengelirukan dengan keputusan penghalaan kekal, dan orang seterusnya mewarisinya tanpa konteks.