Ping nie je dôkaz: otestujte cestu medzi dvoma lokalitami

Tunel je postavený, brány si navzájom odpovedajú, a používatelia na jednej lokalite napriek tomu nevidia zdieľaný priečinok na druhej. Niekto pingne z brány, dostane odpoveď a vyhlási sieť za zdravú. Tá odpoveď putovala medzi dvoma zariadeniami, ktoré nikdy neboli problémom. Užitočný test začína na hostiteľovi, ktorý službu potrebuje, používa protokol, ktorý používa aplikácia, a zopakuje podmienku, pri ktorej zlyháva. Všetko ostatné je zelená pre cestu, po ktorej nikto nejde.

Začnite u klienta, ktorý službu potrebuje

Pred akýmkoľvek testom si zapíšte štyri veci: adresu klienta, cieľovú adresu, názov hostiteľa a port aplikácie. Potom potvrďte, že služba funguje lokálne na svojej vlastnej lokalite, z hostiteľa vedľa nej. Bez tejto základnej línie nerozlíšite pokazený tunel od pokazenej služby a polovica týchto požiadaviek je tá druhá.

Vyskúšajte dokumentovaný názov hostiteľa a tam, kde to služba dovolí, kontrolu priamej adresy toho istého portu. Neúspešné hľadanie názvu a nedostupná preložená adresa vás vedú rôznymi cestami. Ak nahradíte názov hostiteľa IP adresou, nevypínajte kontrolu identity HTTPS, aby to fungovalo; varovanie o certifikáte je informácia, nie prekážka.

Prejdite cestu na každom okraji

Prečítajte trasu, ktorú volí klient, potom trasu, ktorú pre tento cieľ volí brána, potom počítadlá alebo obmedzené zachytenie na každom okraji. Hľadáte dve skutočnosti: či požiadavka dorazila na vzdialenú LAN a či sa vrátila odpoveď. Počítadlá rozhrania zahŕňajú každý ďalší tok, preto korelujte podľa presnej časovej pečiatky a dvojice adries, nie podľa tvaru grafu. Zachytenie na nesprávnom okraji je horšie ako žiadne, pretože vyzerá ako dôkaz.

ip route get 10.10.0.5
sudo tcpdump -ni any host 10.10.0.5 and port 445
sudo tcpdump -ni any net 10.10.0.0/24 and net 10.20.0.0/24

Ak sa požiadavka objaví na vzdialenom okraji bez odpovede za ňou, problém je na druhej strane: firewall, chýbajúca spätná trasa alebo hostiteľ, ktorý neprijíma zdroj. Ak sa požiadavka nikdy neobjaví, lokálna trasa alebo selektory tunela ju nepremietli, a druhá strana ešte nie je hodná vyšetrovania.

Použite protokol, ktorý používa aplikácia

ICMP je slabá sonda. Môže byť filtrovaný, obmedzený rýchlosťou alebo spracovaný inou politikou než služba, čo robí nejednoznačným jeho úspech aj zlyhanie. Testujte skutočný port a, kde môžete, skutočné potrasenie ruky protokolu.

nc -vz 10.10.0.5 445
curl -sv --max-time 5 https://files.corp.internal/ -o /dev/null
openssl s_client -connect 10.10.0.5:443 -servername files.corp.internal

Dokončené TCP potrasenie ruky dokazuje dosiahnuteľnosť a politiku pre ten port. Nedokazuje, že aplikácia funguje: autentifikácia, nahranie alebo konkrétne volanie API môžu stále zlyhať. Testujte operáciu, ktorú používatelia skutočne vykonávajú, pomocou neškodného ekvivalentu namiesto opakovaného odosielania skutočnej transakcie.

Zopakujte podmienku, pri ktorej zlyháva

Zlyhania, ktoré sa objavujú len pri veľkých prenosoch, sú problém veľkosti, nie konektivity. Pošlite veľký paket s nastaveným bitom don't-fragment a sledujte, kde sa zastaví. Ak malá požiadavka uspeje a veľká visí, MTU tunela a spracovanie MSS na bránach sú ďalší podozriví.

ping -M do -s 1400 10.10.0.5
ping -M do -s 1472 10.10.0.5
curl -sS --max-time 30 -F file=@./sample.bin https://files.corp.internal/upload

Ak zlyháva len jedna podsieti, pozrite sa na selektory prevádzky, inzeráty trás a návratovú bránu tej podsiete. Ak zlyháva len názov hostiteľa, sledujte DNS, vrátane toho, ktorý resolver klient použil a či je vzdialený pohľad z tej lokality viditeľný. Tri rôzne poruchy, tri rôzne opravy a ping test nerozlíši ani jednu z nich.

Po oprave zopakujte ten istý test

Spustite znova toho istého klienta, cieľ, port aj obsah. Potom sa znova pripojte alebo vyskúšajte cestu prepnutia, ak ju návrh má, pretože oprava, ktorá funguje len kým je pôvodná inštancia tunela živá, nebola otestovaná. Držte test zviazaný so skutočným zdrojom, skutočným cieľom a skutočnou operáciou, nie s jedným zeleným indikátorom na paneli.

Zaznamenajte štyri základné hodnoty a výsledok. Ďalšia správa o tom istom príznaku môže potom začať od dôkazov, nie od pingu.