Ping-u nga porta IPsec përdor një adresë tjetër burimi

Bëni ping në anën e largët nga porta IPsec, mos merrni përgjigje dhe arrini në përfundimin se tuneli është prishur, ndërsa çdo ngarkesë pune pas portës kalon trafik normalisht. Dy rezultatet nuk kundërshtojnë njëri-tjetrin. Një ping i nisur në portë është paketë me burim lokal, dhe porta zgjedh një adresë burimi nga tabela e vet e rrugëtimit. Kjo zgjedhje mund të ndryshojë nga adresat që përdor trafiku real i sajtit, gjë që ndryshon cila politikë përputhet dhe cila rrugë kthimi zbatohet. Vendosni çfarë duhet të provojë testi përpara se të lexoni ndonjë gjë në rezultatin e tij.

Tre pyetje të ndryshme që ping-u mund t'u përgjigjet

Pyetja e parë është nëse ana e largët është e arritshme fare nga ky host. E dyta është nëse zgjedhësit e tunelit ose politika e bazuar në rrugë lejojnë trafik nga një burim i caktuar. E treta është nëse trafiku i përcjellë nga një ngarkesë pune pas portës funksionon nga skaji në skaj. Një komandë nuk mund t'u përgjigjet të trejave, dhe adresa e burimit është ajo që i ndan.

Zgjidhni fillimisht pyetjen. Përndryshe një ping i dështuar bëhet provë për teorinë që kishit tashmë.

Pse porta zgjedh një adresë që nuk e prisnit

Kur bëni ping në një destinacion, stivi lokal zgjedh një burim nga rruga që i përputhet. Në një tunel të bazuar në rrugë kjo mund të jetë adresa e lidhjes e ndërfaqes së tunelit, e cila në shumë projekte sajti është një çift 169.254.x.x i zgjedhur për kërcimin pikë-pikë. Këto adresa ekzistojnë që lidhja të funksionojë; në anën e largët ato nuk shpallen si rrjeta burimi të aplikacioneve.

Pra ana e largët mund të marrë një kërkesë jehone nga një adresë për të cilën nuk ka rrugë kthimi, ose nga një që asnjë zgjedhës nuk përputhet. Tuneli mund të jetë i shëndetshëm dhe ping-u mund të dështojë gjithsesi, dhe ky është pikërisht negativi i rremë për të cilin flet ky artikull.

Zgjidhni burimin me qëllim

Në një portë Linux të kontrolluar, zgjidhni një burim që është caktuar tashmë lokalisht: ping -c 4 -I 10.30.0.1 10.40.0.20. Adresat këtu janë ilustruese, prandaj zëvendësojini me adresën reale të brendshme të portës dhe një destinacion real të largët, dhe konfirmoni që burimi që zgjidhni i përket këtij pajisjeje dhe lejohet nga politika e sajtit.

Mos huazoni adresën e një ngarkese pune për testin. Duke u shtirur si një host që nuk është caktuar në portë krijohet një rezultat që askush nuk mund ta riprodhojë, dhe në disa stive dështon në mënyra që duken si defekt i tunelit.

Lexoni rrugën e kthimit, jo vetëm kërkesën

Kontrolloni cili burim arrin vërtet në destinacionin e largët, duke përfshirë çdo përkthim të qëllimshëm gjatë rrugës. Pastaj kontrolloni rrugën e kthimit të anës së largët drejt atij burimi dhe zgjedhësit ose politikën që e lejojnë. Një kërkesë që vjen me një burim të papritur është çështje rrugëtimi dhe politike, jo kriptografie.

Këtu gjithashtu kapja e paketave ndihmon më shumë se një ping tjetër: tregon burimin që pa ana e largët, dhe ajo është adresa ku duhet të arrijë përgjigjja e saj.

Pastaj provoni ngarkesën e punës

Testi vendimtar është një ping nga një host i zakonshëm pas portës drejt një hosti të zakonshëm pas portës së largët. Kjo ushtron rolin e përcjelljes së portës, burimin real të aplikacionit dhe rrugën e vërtetë të kthimit, që është rrjedha për të cilën interesohen përdoruesit.

Mbajini rezultatet veçmas në shënimet tuaja: arritshmëria nga porta, lejimi nga politika për një burim të zgjedhur dhe trafiku i përcjellë. Një ping i fiksuar me sukses është provë e dobishme që tuneli mbart diçka; nuk është provë që çdo rrjedhë e përcjellë funksionon. Dhe një burim porte i zgjedhur automatikisht që nuk arrihet nuk është provë që tuneli i sajtit ka rënë.

Mos shtoni një rrugë të përgjithshme për 169.254.0.0/16 vetëm për të marrë një përgjigje diagnostike. Kjo shkëmben një test mashtrues me një vendim të përhershëm rrugëtimi, dhe personi tjetër e trashëgon pa kontekstin.