Ping z brány IPsec používa inú zdrojovú adresu

Odošlite ping z brány IPsec na vzdialenú stranu, nedostanete odpoveď a usúdite, že tunel je pokazený, pričom každá úloha za bránou normálne prechádza. Tieto dva výsledky si neodporujú. Ping spustený na bráne je paket s miestnym zdrojom a brána vyberá zdrojovú adresu zo svojej vlastnej smerovacej tabuľky. Táto voľba sa môže líšiť od adries, ktoré používa skutočná prevádzka lokality, čo mení, ktorá politika zodpovedá a ktorá spiatočná trasa platí. Rozhodnite, čo má test dokázať, skôr než z jeho výsledku čokoľvek vyvodíte.

Tri rôzne otázky, na ktoré môže ping odpovedať

Prvá otázka je, či je vzdialená strana z tohto hostiteľa vôbec dosiahnuteľná. Druhá je, či selektory tunela alebo politika založená na trasách prepúšťajú prevádzku z určitého zdroja. Tretia je, či presmerovaná prevádzka z úlohy za bránou funguje od konca po koniec. Jeden príkaz nedokáže odpovedať na všetky tri a zdrojová adresa je to, čo ich oddeľuje.

Najprv si vyberte otázku. Inak sa neúspešný ping stane dôkazom pre teóriu, ktorú ste už mali.

Prečo brána volí adresu, ktorú ste nečakali

Keď pingujete cieľ, miestny zásobník vyberie zdroj z trasy, ktorá k nemu zodpovedá. Na tuneli založenom na trasách to môže byť adresa spoja rozhrania tunela, ktorá je v mnohých návrhoch lokality dvojica 169.254.x.x zvolená pre skok bod-bod. Tieto adresy existujú, aby spoj fungoval; na vzdialenej strane sa neinzerujú ako siete zdroja aplikácií.

Vzdialená strana tak môže dostať požiadavku na echo z adresy, na ktorú nemá spiatočnú trasu, alebo z takej, ktorej nezodpovedá žiadny selektor. Tunel môže byť zdravý a ping napriek tomu zlyhá, a to je presne ten falošne negatívny výsledok, o ktorom je tento článok.

Vyberte zdroj zámerne

Na riadenej bráne Linux vyberte zdroj, ktorý je už miestne priradený: ping -c 4 -I 10.30.0.1 10.40.0.20. Adresy sú tu ilustratívne, preto dosaďte skutočnú vnútornú adresu brány a skutočný vzdialený cieľ a overte, že zvolený zdroj patrí tomuto zariadeniu a že ho politika lokality prepúšťa.

Nepožičiavajte si pre test adresu úlohy. Vydávanie sa za hostiteľa, ktorý nie je bráne priradený, vytvára výsledok, ktorý nikto nedokáže zopakovať, a na niektorých zásobníkoch zlyháva tak, že to vyzerá ako porucha tunela.

Čítajte spiatočnú cestu, nielen požiadavku

Skontrolujte, ktorý zdroj skutočne dorazí na vzdialený cieľ, vrátane prípadného zámerného prekladu na ceste. Potom skontrolujte spiatočnú trasu vzdialenej strany k tomuto zdroju a selektory alebo politiku, ktoré ho prepúšťajú. Požiadavka, ktorá dorazí s neočakávaným zdrojom, je otázka smerovania a politiky, nie kryptografie.

Práve tu pomôže zachytávanie paketov viac ako ďalší ping: ukáže zdroj, ktorý vzdialená strana videla, a to je adresa, ktorú musí jej odpoveď dosiahnuť.

Potom otestujte úlohu

Rozhodujúci test je ping z bežného hostiteľa za bránou na bežného hostiteľa za vzdialenou bránou. Precvičí rolu brány pri presmerovaní, skutočný zdroj aplikácie a skutočnú spiatočnú cestu, čo je tok, na ktorom používateľom záleží.

Vedte výsledky v poznámkach oddelene: dosiahnuteľnosť z brány, prepustenie politikou pre zvolený zdroj a presmerovaná prevádzka. Úspešný pripnutý ping je užitočný dôkaz, že tunel niečo prenáša; nie je dôkazom, že funguje každý presmerovaný tok. A automaticky zvolený zdroj brány, ktorý nie je dosiahnuteľný, nie je dôkazom, že tunel lokality je mimo prevádzky.

Nepridávajte všeobecnú trasu pre 169.254.0.0/16 len preto, aby ste dostali jednu diagnostickú odpoveď. Vymeníte tým zavádzajúci test za trvalé rozhodnutie o smerovaní a ďalší človek ho zdedí bez kontextu.