Ping sa IPsec pristupnika koristi drugu izvornu adresu

Pošaljite ping na udaljenu stranu sa IPsec pristupnika, ne dobijete odgovor i zaključite da je tunel pokvaren, dok svako radno opterećenje iza pristupnika normalno prenosi saobraćaj. Ta dva rezultata nisu protivrječna. Ping pokrenut na pristupniku je paket lokalnog izvora, a pristupnik bira izvornu adresu iz vlastite tablice rutiranja. Taj izbor može se razlikovati od adresa koje koristi stvarni saobraćaj lokacije, što mijenja koja politika odgovara i koja povratna ruta se primjenjuje. Odlučite šta test treba dokazati prije nego što bilo šta zaključite iz njegovog rezultata.

Tri različita pitanja na koja ping može odgovoriti

Prvo pitanje je da li je udaljena strana uopšte dostupna sa ovog hosta. Drugo je da li selektori tunela ili politika zasnovana na ruti propuštaju saobraćaj sa određenog izvora. Treće je da li proslijeđeni saobraćaj sa radnog opterećenja iza pristupnika radi od kraja do kraja. Jedna komanda ne može odgovoriti na sva tri, a izvorna adresa ih razdvaja.

Prvo odaberite pitanje. U suprotnom neuspjeli ping postaje dokaz za onu teoriju koju ste već imali.

Zašto pristupnik bira adresu koju niste očekivali

Kada pingate odredište, lokalni stek bira izvor iz rute koja mu odgovara. Na tunelu zasnovanom na ruti to može biti adresa linka interfejsa tunela, koja je u mnogim dizajnima lokacije par 169.254.x.x odabran za tačku-na-tačku hop. Te adrese postoje da bi link radio; one se ne oglašavaju kao mreže izvora aplikacija na udaljenoj strani.

Tako udaljena strana može primiti zahtjev za eho sa adrese na koju nema povratnu rutu, ili one koju ne odgovara nijedan selektor. Tunel može biti zdrav, a ping ipak može ne uspjeti, i to je upravo lažni negativni rezultat o kojem govori ovaj članak.

Odaberite izvor namjerno

Na kontrolisanom Linux pristupniku odaberite izvor koji je već lokalno dodijeljen: ping -c 4 -I 10.30.0.1 10.40.0.20. Adrese su ovdje ilustrativne, pa zamijenite stvarnu unutrašnju adresu pristupnika i stvarno udaljeno odredište i potvrdite da odabrani izvor pripada ovom uređaju i da ga politika lokacije propušta.

Ne posuđujte adresu radnog opterećenja za test. Lažno predstavljanje hosta koji nije dodijeljen pristupniku stvara rezultat koji niko ne može ponoviti, a na nekim stekovima to ne uspijeva na način koji izgleda kao kvar tunela.

Čitajte povratnu putanju, ne samo zahtjev

Provjerite koji izvor stvarno stiže na udaljeno odredište, uključujući svako namjerno prevođenje na putu. Zatim provjerite povratnu rutu udaljene strane do tog izvora i selektore ili politiku koji ga propuštaju. Zahtjev koji stiže sa neočekivanim izvorom je pitanje rutiranja i politike, a ne kriptografije.

Ovdje i snimanje paketa pomaže više od još jednog pinga: pokazuje izvor koji je udaljena strana vidjela, a to je adresa koju njen odgovor mora dostići.

Zatim testirajte radno opterećenje

Odlučujući test je ping sa običnog hosta iza pristupnika na običan host iza udaljenog pristupnika. To isprobava ulogu prosljeđivanja pristupnika, stvarni izvor aplikacije i pravu povratnu putanju, a to je tok do kojeg je korisnicima stalo.

Držite rezultate odvojeno u bilješkama: dostupnost sa pristupnika, propuštanje politike za odabrani izvor i proslijeđeni saobraćaj. Uspješan prikvačeni ping koristan je dokaz da tunel nešto nosi; nije dokaz da svaki proslijeđeni tok radi. A automatski odabran izvor pristupnika do kojeg se ne može doći nije dokaz da je tunel lokacije pao.

Ne dodajte sveobuhvatnu rutu za 169.254.0.0/16 samo da biste dobili jedan dijagnostički odgovor. To mijenja zavaravajući test za trajnu odluku o rutiranju, a sljedeća osoba je nasljeđuje bez konteksta.