Ang ping mula sa IPsec gateway ay gumagamit ng ibang source address
Ang ping na sinimulan sa gateway mismo ay pumipili ng sariling source, at binabago ng source na iyon ang patakaran at ang daan pabalik. Piliin ang pagsubok na nagpapatunay ng kailangan mo.
Mag-ping sa kabilang dulo mula sa IPsec gateway, walang sagot na makuha at isipin na sira ang tunnel, habang bawat workload sa likod ng gateway ay normal na nagpapadala ng trapiko. Hindi magkasalungat ang dalawang resulta. Ang ping na sinimulan sa gateway ay packet na may lokal na source, at ang gateway ay pumipili ng source address mula sa sarili nitong routing table. Maaaring iba ang pagpiling iyon sa mga address na ginagamit ng tunay na trapiko ng site, na nagbabago kung aling patakaran ang tumutugma at kung aling daan pabalik ang nalalapat. Magpasya kung ano ang dapat patunayan ng pagsubok bago mo basahin ang anuman sa resulta.
Tatlong magkaibang tanong na masasagot ng ping
Ang unang tanong ay kung maaabot ba ang kabilang dulo mula sa host na ito. Ang pangalawa ay kung tinatanggap ng mga selector ng tunnel o ng patakarang nakabatay sa ruta ang trapiko mula sa isang partikular na source. Ang pangatlo ay kung gumagana ba mula simula hanggang dulo ang trapikong ipinapasa mula sa workload sa likod ng gateway. Hindi masasagot ng isang utos ang tatlo, at ang source address ang naghihiwalay sa kanila.
Piliin muna ang tanong. Kung hindi, ang bigong ping ay magiging ebidensya para sa teoryang mayroon ka na.
Bakit pumipili ang gateway ng address na hindi mo inasahan
Kapag nag-ping ka sa isang destinasyon, pumipili ang lokal na stack ng source mula sa rutang tumutugma dito. Sa tunnel na nakabatay sa ruta, maaaring iyon ang link address ng tunnel interface, na sa maraming disenyo ng site ay pares na 169.254.x.x na pinili para sa point-to-point hop. Umiiral ang mga address na iyon para gumana ang link; hindi sila inaanunsyo bilang mga application-source network sa kabilang dulo.
Kaya maaaring makatanggap ang kabilang dulo ng echo request mula sa address na wala siyang daan pabalik, o mula sa isang walang selector na tumutugma. Maaaring malusog ang tunnel at maaari pa ring mabigo ang ping, at iyon mismo ang false negative na tinatalakay ng artikulong ito.
Piliin ang source nang sadya
Sa isang kontroladong Linux gateway, pumili ng source na nakatalaga na nang lokal: ping -c 4 -I 10.30.0.1 10.40.0.20. Ang mga address dito ay halimbawa lamang, kaya palitan ito ng tunay na panloob na address ng gateway at tunay na malayong destinasyon, at tiyakin na ang pinili mong source ay pag-aari ng device na ito at pinapayagan ng patakaran ng site.
Huwag hiramin ang address ng isang workload para sa pagsubok. Ang pagpapanggap na host na hindi nakatalaga sa gateway ay lumilikha ng resultang walang makakaulit, at sa ilang stack ay nabibigo ito sa paraang mukhang sira ng tunnel.
Basahin ang daan pabalik, hindi lamang ang request
Tingnan kung aling source ang tunay na dumarating sa malayong destinasyon, kasama ang anumang sadyang pagsasalin sa daan. Pagkatapos tingnan ang daan pabalik ng kabilang dulo patungo sa source na iyon at ang mga selector o patakarang nagpapahintulot nito. Ang request na dumarating na may hindi inaasahang source ay isyu ng routing at patakaran, hindi ng cryptography.
Dito rin nakakatulong ang paghuli ng packet nang higit sa isa pang ping: ipinapakita nito ang source na nakita ng kabilang dulo, at iyon ang address na dapat abutin ng sagot nito.
Pagkatapos subukan ang workload
Ang mapagpasyang pagsubok ay ping mula sa ordinaryong host sa likod ng gateway patungo sa ordinaryong host sa likod ng malayong gateway. Sinasanay nito ang tungkulin ng gateway sa pagpapasa, ang tunay na source ng aplikasyon at ang tunay na daan pabalik, at iyon ang daloy na mahalaga sa mga gumagamit.
Paghiwalayin ang mga resulta sa iyong mga tala: maabot mula sa gateway, pagpayag ng patakaran para sa piniling source, at ipinasang trapiko. Ang matagumpay na naka-pin na ping ay kapaki-pakinabang na ebidensya na may dinadala ang tunnel; hindi ito patunay na gumagana ang bawat ipinasang daloy. At ang awtomatikong piniling source ng gateway na hindi maabot ay hindi patunay na down ang tunnel ng site.
Huwag magdagdag ng pangkalahatang ruta para sa 169.254.0.0/16 para lang makakuha ng isang diagnostic na sagot. Ipinagpapalit nito ang isang nakalilinlang na pagsubok sa isang permanenteng desisyon sa routing, at ang susunod na tao ay magmamana nito nang walang konteksto.