Ping ni dokaz: preizkusite pot med dvema lokacijama

Tunel je vzpostavljen, prehoda se odzivata drug drugemu, uporabniki na eni lokaciji pa še vedno ne morejo odpreti skupne mape na drugi. Nekdo pinga s prehoda, dobi odgovor in omrežje razglasi za zdravo. Ta odgovor je potoval med dvema napravama, ki nikoli nista bili težava. Uporaben preizkus se začne na gostitelju, ki potrebuje storitev, uporabi protokol, ki ga uporablja aplikacija, in ponovi pogoj, v katerem ne uspe. Vse ostalo je zelena luč za pot, po kateri ne hodi nihče.

Začnite pri odjemalcu, ki potrebuje storitev

Pred kakršnim koli preizkusom zapišite štiri stvari: naslov odjemalca, ciljni naslov, ime gostitelja in vrata aplikacije. Nato potrdite, da storitev deluje lokalno na svoji lokaciji, z gostitelja ob njej. Brez te osnovne črte ne morete ločiti pokvarjenega tunela od pokvarjene storitve, in polovica teh zahtevkov je druga.

Preizkusite dokumentirano ime gostitelja in, kjer storitev to dovoljuje, neposreden pregled naslova istih vrat. Neuspešno iskanje imena in nedosegljiv razrešen naslov vas vodita po različnih poteh. Če ime gostitelja zamenjate z IP, ne izklopite preverjanja identitete HTTPS, da bi delovalo; opozorilo o potrdilu je informacija, ne ovira.

Prehodite pot na vsakem robu

Preberite pot, ki jo izbere odjemalec, nato pot, ki jo za ta cilj izbere prehod, nato števce ali omejen zajem na vsakem robu. Iščete dve dejstvi: ali je zahteva prispela v oddaljeno lokalno omrežje in ali se je vrnil odgovor. Števci vmesnika vključujejo vsak drug tok, zato korelirajte po natančnem časovnem žigu in paru naslovov, ne po obliki grafa. Zajem na napačnem robu je slabši od nobenega, ker je videti kot dokaz.

ip route get 10.10.0.5
sudo tcpdump -ni any host 10.10.0.5 and port 445
sudo tcpdump -ni any net 10.10.0.0/24 and net 10.20.0.0/24

Če se zahteva pojavi na oddaljenem robu brez odgovora za njo, je težava na drugi strani: požarni zid, manjkajoča povratna pot ali gostitelj, ki ne sprejme vira. Če se zahteva nikoli ne pojavi, je lokalna pot ali izbirniki tunela niso prenesli, in druga stran še ni vredna preiskave.

Uporabite protokol, ki ga uporablja aplikacija

ICMP je šibka sonda. Lahko je filtriran, omejen s hitrostjo ali obravnavan z drugačno politiko kot storitev, zaradi česar sta tako njegov uspeh kot neuspeh dvoumna. Preizkusite dejanska vrata in, kjer lahko, dejansko rokovanje protokola.

nc -vz 10.10.0.5 445
curl -sv --max-time 5 https://files.corp.internal/ -o /dev/null
openssl s_client -connect 10.10.0.5:443 -servername files.corp.internal

Zaključeno rokovanje TCP dokazuje dosegljivost in politiko za ta vrata. Ne dokazuje, da aplikacija deluje: overjanje, nalaganje ali določen klic API lahko še vedno ne uspe. Preizkusite postopek, ki ga uporabniki res izvajajo, z neškodljivim ustreznikom, namesto da bi znova in znova pošiljali resnično transakcijo.

Ponovite pogoj, v katerem ne uspe

Napake, ki se pojavijo le pri velikih prenosih, so težava velikosti, ne povezljivosti. Pošljite velik paket z nastavljenim bitom don't-fragment in opazujte, kje se ustavi. Če majhna zahteva uspe, velika pa obvisi, so MTU tunela in obdelava MSS na prehodih naslednji osumljenci.

ping -M do -s 1400 10.10.0.5
ping -M do -s 1472 10.10.0.5
curl -sS --max-time 30 -F file=@./sample.bin https://files.corp.internal/upload

Če ne uspe le eno podomrežje, poglejte izbirnike prometa, oznanila poti in povratni prehod tega podomrežja. Če ne uspe le ime gostitelja, sledite DNS, vključno s tem, kateri razreševalnik je uporabil odjemalec in ali je oddaljeni pogled viden s te lokacije. Tri različne okvare, tri različne popravke, in ping preizkus ne loči nobene od njih.

Po popravku ponovite isti preizkus

Znova zaženite istega odjemalca, cilj, vrata in koristni tovor. Nato se znova povežite ali preizkusite pot za preklop, če jo zasnova ima, ker popravek, ki deluje le dokler je prvotna instanca tunela živa, ni bil preizkušen. Držite preizkus vezan na resničen vir, resničen cilj in resničen postopek, ne na en sam zelen kazalnik na nadzorni plošči.

Zapišite štiri osnovne vrednosti in rezultat. Naslednje poročilo o istem simptomu se bo lahko potem začelo z dokazi, ne s pingom.