Ping z IPsec prehoda uporablja drug naslov vira

Pošljite ping na drugo stran z IPsec prehoda, ne prejmite odgovora in sklenite, da je tunel pokvarjen, medtem ko vsaka delovna obremenitev za prehodom običajno prenaša promet. Ta dva rezultata si ne nasprotujeta. Ping, zagnan na prehodu, je paket z lokalnim virom, in prehod izbere naslov vira iz svoje lastne usmerjevalne tabele. Ta izbira se lahko razlikuje od naslovov, ki jih uporablja resnični promet mesta, kar spremeni, katera politika se ujema in katera povratna pot velja. Odločite se, kaj naj test dokaže, preden v rezultat kaj vpišete.

Tri različna vprašanja, na katera lahko ping odgovori

Prvo vprašanje je, ali je oddaljena stran z gostitelja sploh dosegljiva. Drugo je, ali izbirniki tunela ali politika, ki temelji na poteh, prepuščajo promet iz določenega vira. Tretje je, ali posredovani promet iz delovne obremenitve za prehodom deluje od konca do konca. En ukaz ne more odgovoriti na vse tri, in naslov vira je tisto, kar jih loči.

Najprej izberite vprašanje. Sicer neuspešen ping postane dokaz za teorijo, ki ste jo že imeli.

Zakaj prehod izbere naslov, ki ga niste pričakovali

Ko pingate cilj, lokalni sklad izbere vir iz poti, ki se z njim ujema. Na tunelu, ki temelji na poteh, je to lahko naslov povezave vmesnika tunela, ki je v številnih zasnovah mesta par 169.254.x.x, izbran za skok od točke do točke. Ti naslovi obstajajo, da povezava deluje; na oddaljeni strani niso oglašeni kot omrežja vira aplikacij.

Zato lahko oddaljena stran prejme zahtevo za odmev z naslova, na katerega nima povratne poti, ali s takega, ki se ne ujema z nobenim izbirnikom. Tunel je lahko zdrav in ping lahko vseeno ne uspe, in to je natanko tisti lažno negativni rezultat, o katerem je ta članek.

Vir izberite namenoma

Na nadzorovanem prehodu Linux izberite vir, ki je že dodeljen lokalno: ping -c 4 -I 10.30.0.1 10.40.0.20. Naslovi tukaj so ponazoritveni, zato jih zamenjajte z resničnim notranjim naslovom prehoda in resničnim oddaljenim ciljem ter potrdite, da izbrani vir pripada tej napravi in da ga politika mesta prepušča.

Za test si ne izposojajte naslova delovne obremenitve. Pretvarjanje, da ste gostitelj, ki ni dodeljen prehodu, ustvari rezultat, ki ga nihče ne more ponoviti, na nekaterih skladih pa spodleti tako, da je videti kot okvara tunela.

Berite povratno pot, ne le zahteve

Preverite, kateri vir v resnici prispe na oddaljeni cilj, vključno z morebitnim namernim prevajanjem na poti. Nato preverite povratno pot oddaljene strani do tega vira in izbirnike ali politiko, ki jo dovoljujejo. Zahteva, ki prispe z nepričakovanim virom, je vprašanje usmerjanja in politike, ne kriptografije.

Tukaj tudi zajemanje paketov pomaga bolj kot še en ping: pokaže vir, ki ga je videla oddaljena stran, in to je naslov, ki ga mora doseči njen odgovor.

Nato preizkusite delovno obremenitev

Odločilni test je ping z običajnega gostitelja za prehodom na običajnega gostitelja za oddaljenim prehodom. To preizkusi vlogo prehoda pri posredovanju, resnični vir aplikacije in resnično povratno pot, kar je tok, ki je uporabnikom pomemben.

Rezultate imejte v zapiskih ločeno: dosegljivost s prehoda, dovoljenje politike za izbrani vir in posredovani promet. Uspešen pripet ping je koristen dokaz, da tunel nekaj prenaša; ni dokaz, da deluje vsak posredovani tok. In samodejno izbran vir prehoda, ki ni dosegljiv, ni dokaz, da je tunel mesta mrtev.

Ne dodajajte splošne poti za 169.254.0.0/16 samo zato, da bi dobili en diagnostični odgovor. To zamenja zavajajoč test za trajno odločitev o usmerjanju, in naslednja oseba jo podeduje brez konteksta.