IPsec geçidinden gelen ping farklı bir kaynak adresi kullanır

IPsec geçidinden karşı tarafa ping atın, yanıt almayın ve tünelin bozuk olduğu sonucuna varın, oysa geçidin arkasındaki her iş yükü trafiği normal şekilde geçiriyor. Bu iki sonuç birbiriyle çelişmez. Geçitte başlatılan ping yerel kaynaklı bir pakettir ve geçit kaynak adresini kendi yönlendirme tablosundan seçer. Bu seçim, gerçek site trafiğinin kullandığı adreslerden farklı olabilir; bu da hangi politikanın eşleştiğini ve hangi dönüş yolunun geçerli olduğunu değiştirir. Sonuçtan herhangi bir şey okumadan önce testin neyi kanıtlaması gerektiğine karar verin.

Bir ping'in yanıtlayabileceği üç farklı soru

İlk soru, karşı tarafa bu ana makineden hiç ulaşılıp ulaşılamadığıdır. İkincisi, tünelin seçicilerinin veya rota tabanlı politikanın belirli bir kaynaktan gelen trafiğe izin verip vermediğidir. Üçüncüsü, geçidin arkasındaki bir iş yükünden iletilen trafiğin uçtan uca çalışıp çalışmadığıdır. Tek bir komut üçünü de yanıtlayamaz ve bunları ayıran şey kaynak adresidir.

Önce soruyu seçin. Aksi halde başarısız bir ping, zaten sahip olduğunuz teorinin kanıtı haline gelir.

Geçit neden beklemediğiniz bir adres seçer

Bir hedefe ping attığınızda, yerel yığın ona uyan rotadan bir kaynak seçer. Rota tabanlı bir tünelde bu, tünel arayüzünün bağlantı adresi olabilir ve birçok site tasarımında bu, noktadan noktaya atlama için seçilmiş 169.254.x.x çiftidir. Bu adresler bağlantının çalışması için vardır; karşı tarafta uygulama kaynak ağları olarak duyurulmazlar.

Bu yüzden karşı taraf, geri dönüş rotası olmayan bir adresten veya hiçbir seçicinin eşleşmediği bir adresten yankı isteği alabilir. Tünel sağlıklı olabilir ve ping yine de başarısız olabilir; bu makalenin konusu olan yanlış negatif tam olarak budur.

Kaynağı bilerek seçin

Kontrollü bir Linux geçidinde, zaten yerel olarak atanmış bir kaynak seçin: ping -c 4 -I 10.30.0.1 10.40.0.20. Buradaki adresler örnektir, bu yüzden geçidin gerçek iç adresiyle ve gerçek bir uzak hedefle değiştirin ve seçtiğiniz kaynağın bu cihaza ait olduğunu ve site politikası tarafından kabul edildiğini doğrulayın.

Test için bir iş yükünün adresini ödünç almayın. Geçide atanmamış bir ana makineyi taklit etmek, kimsenin yeniden üretemeyeceği bir sonuç yaratır ve bazı yığınlarda bu, tünel arızası gibi görünen şekillerde başarısız olur.

Yalnızca isteği değil, dönüş yolunu da okuyun

Uzak hedefe gerçekte hangi kaynağın ulaştığını, yolda yapılan her türlü bilinçli çeviri dahil kontrol edin. Ardından karşı tarafın o kaynağa dönüş rotasını ve buna izin veren seçicileri veya politikayı kontrol edin. Beklenmedik bir kaynakla gelen istek, kriptografi değil yönlendirme ve politika sorunudur.

Burada ayrıca paket yakalama bir ping'den daha çok yardımcı olur: karşı tarafın gördüğü kaynağı gösterir ve yanıtının ulaşması gereken adres odur.

Sonra iş yükünü test edin

Belirleyici test, geçidin arkasındaki sıradan bir ana makineden uzak geçidin arkasındaki sıradan bir ana makineye ping atmaktır. Bu, geçidin iletme rolünü, uygulamanın gerçek kaynağını ve gerçek dönüş yolunu dener ve kullanıcıların önemsediği akış da budur.

Sonuçları notlarınızda ayrı tutun: geçitten erişilebilirlik, seçilen kaynak için politika izni ve iletilen trafik. Başarıyla sabitlenmiş bir ping, tünelin bir şey taşıdığına dair yararlı bir kanıttır; her iletilen akışın çalıştığının kanıtı değildir. Ve erişilemeyen, otomatik seçilmiş bir geçit kaynağı, site tünelinin kapalı olduğunun kanıtı değildir.

Yalnızca tek bir tanılama yanıtı almak için 169.254.0.0/16 için genel bir rota eklemeyin. Bu, yanıltıcı bir testi kalıcı bir yönlendirme kararıyla değiştirir ve sonraki kişi bunu bağlam olmadan devralır.