Ping er ikkje prov: test vegen mellom to lokasjonar

Tunnelen er oppe, gatewayane svarar kvarandre, og brukarane på den eine lokasjonen kan framleis ikkje opne fildelinga på den andre. Nokon pingar frå gatewayen, får eit svar og erklærer nettverket friskt. Det svaret reiste mellom to einingar som aldri var problemet. Ein nyttig test startar på verten som treng tenesta, brukar protokollen applikasjonen brukar, og gjenskapar tilstanden han feilar under. Alt anna er grønt lys for ein veg ingen er på.

Start ved klienten som treng tenesta

Skriv ned fire ting før du testar noko: klientadressa, destinasjonsadressa, vertsnamnet og porten til applikasjonen. Stadfest deretter at tenesta verkar lokalt på sin eigen lokasjon, frå ein vert ved sida av. Utan den grunnlinja kan du ikkje skilje ein broten tunnel frå ei broten teneste, og halvparten av desse sakene er det andre.

Prøv det dokumenterte vertsnamnet og, der tenesta tillèt det, ein direkte adressekontroll av same port. Eit mislukka namneoppslag og ei uoppnåeleg oppløyst adresse sender deg ned ulike vegar. Viss du byter ut eit vertsnamn med ein IP, ikkje slå av HTTPS-identitetskontrollen for å få det til å verke; eit sertifikatvarsel er informasjon, ikkje ei hindring.

Gå vegen ved kvar kant

Les ruta klienten vel, deretter ruta gatewayen vel for den destinasjonen, deretter teljarane eller eit avgrensa opptak ved kvar kant. Du leitar etter to fakta: nådde førespurnaden det fjerne LAN-et, og kom det eit svar tilbake. Grensesnittteljarar omfattar kvar annan straum, så korreler etter nøyaktig tidsstempel og adressepar i staden for forma på grafen. Eit opptak teke ved feil kant er verre enn ingen, fordi det ser ut som prov.

ip route get 10.10.0.5
sudo tcpdump -ni any host 10.10.0.5 and port 445
sudo tcpdump -ni any net 10.10.0.0/24 and net 10.20.0.0/24

Viss førespurnaden dukkar opp ved den fjerne kanten utan eit svar bak seg, er problemet på den andre sida: ein brannmur, ei manglande returrute eller ein vert som ikkje godtek kjelda. Viss førespurnaden aldri dukkar opp, har den lokale ruta eller tunnelveljarane ikkje bore han, og den andre sida er enno ikkje verdt å undersøkje.

Bruk protokollen applikasjonen brukar

ICMP er ein svak sonde. Han kan filtrerast, hastigheitsavgrensast eller handterast av ein annan policy enn tenesta, noko som gjer både suksessen og fiaskoen tvitydig. Test den faktiske porten og, der du kan, det faktiske protokollhandtrykket.

nc -vz 10.10.0.5 445
curl -sv --max-time 5 https://files.corp.internal/ -o /dev/null
openssl s_client -connect 10.10.0.5:443 -servername files.corp.internal

Eit fullført TCP-handtrykk provar nåbarheit og policy for den porten. Det provar ikkje at applikasjonen verkar: autentisering, ei opplasting eller eit bestemt API-kall kan framleis feile. Test operasjonen brukarane faktisk utfører, med ein ufarleg ekvivalent i staden for å sende inn ein ekte transaksjon gong på gong.

Gjenskap tilstanden som feilar

Feil som berre viser seg ved store overføringar er eit storleiksproblem, ikkje eit tilkoplingsproblem. Send ein stor pakke med don't-fragment-biten sett og sjå kvar han stoppar. Viss ein liten førespurnad lukkast og ein stor heng, er tunnelens MTU og MSS-handteringa på gatewayane dei neste mistenkte.

ping -M do -s 1400 10.10.0.5
ping -M do -s 1472 10.10.0.5
curl -sS --max-time 30 -F file=@./sample.bin https://files.corp.internal/upload

Viss berre eitt subnett feilar, sjå på trafikkveljarar, ruteannonseringar og returgatewayen til det subnettet. Viss berre vertsnamnet feilar, følg DNS, inkludert kva resolver klienten brukte og om fjernvisinga er synleg frå den lokasjonen. Tre ulike feil, tre ulike rettingar, og pingtesten skil ikkje éin av dei.

Etter rettinga, gjenta den same testen

Køyr den identiske klienten, destinasjonen, porten og nyttelasta på nytt. Kople deretter til på nytt eller prøv failover-vegen viss designet har ein, fordi ei retting som berre verkar medan den opphavlege tunnelinstansen lever, ikkje er testa. Hald testen knytt til ei ekte kjelde, ein ekte destinasjon og ein ekte operasjon i staden for éin grøn indikator på eit dashbord.

Noter dei fire grunnverdiane og resultatet. Den neste rapporten om same symptom kan då starte med prov i staden for med ein ping.