Γιατί συμβαίνει αυτό
Το ping χρησιμοποιεί ICMP, ενώ τα SSH και HTTPS χρησιμοποιούν θύρες TCP. Πρόκειται για ξεχωριστή κίνηση και ένα τείχος προστασίας μπορεί να απορρίπτει τη μία και να επιτρέπει την άλλη. Πολλά δίκτυα και ομάδες ασφαλείας στο cloud αποκλείουν το ICMP echo από προεπιλογή. Επομένως, η απουσία απάντησης δεν σημαίνει ότι ο διακομιστής δεν λειτουργεί και μια απάντηση δεν αποδεικνύει ότι λειτουργούν οι υπηρεσίες του.
Δοκιμάστε την υπηρεσία, όχι το ping
Ελέγξτε τις θύρες και τα πρωτόκολλα που χρειάζεστε πραγματικά. Αν οι δοκιμές επιτύχουν, ο διακομιστής είναι προσβάσιμος για αυτές τις υπηρεσίες και η αποτυχία του ping δείχνει απλώς ότι υπάρχει φίλτρο κάπου στη διαδρομή.
nc -vz -w 5 server.example 22
nc -vz -w 5 server.example 443
curl -sSI https://server.example/Ανιχνεύστε τη διαδρομή με TCP
Το κλασικό traceroute μπορεί να εμφανίζει μόνο αστερίσκους όταν φιλτράρεται το ICMP ή το UDP. Με TCP προς μια ανοιχτή θύρα μπορείτε συχνά να προχωρήσετε περισσότερο. Αυτό απαιτεί δικαιώματα root και ίσως χρειαστεί πρώτα να εγκαταστήσετε το traceroute, επειδή τα ελάχιστα συστήματα δεν το περιλαμβάνουν.
sudo traceroute -T -p 443 server.exampleΑναζητήστε το φίλτρο στον διακομιστή σας
Αν διαχειρίζεστε τον διακομιστή, εξετάστε το τείχος προστασίας του και τη ρύθμιση του πυρήνα που αγνοεί τα αιτήματα echo. Θυμηθείτε ότι ο αποκλεισμός μπορεί να βρίσκεται και εκτός διακομιστή, σε μια ομάδα ασφαλείας ή σε έναν δρομολογητή, και ότι ο πάροχος μπορεί να φιλτράρει το ICMP στο δίκτυό του χωρίς να βλέπετε κάποιον κανόνα.
sysctl net.ipv4.icmp_echo_ignore_all
sudo nft list ruleset | grep -i icmp
sudo ufw status verboseΠότε ο αποκλεισμός ICMP προκαλεί πράγματι βλάβες
Ο αποκλεισμός του echo είναι συνήθως ακίνδυνος, αλλά ο αποκλεισμός όλου του ICMP δεν είναι. Ο εντοπισμός του MTU της διαδρομής βασίζεται στα μηνύματα για υπερβολικά μεγάλα πακέτα. Χωρίς αυτά, οι μικρές ανταλλαγές λειτουργούν και οι μεγάλες κολλούν, για παράδειγμα όταν η είσοδος μέσω SSH επιτυγχάνει αλλά μετά η συνεδρία κολλάει σε μεγάλο όγκο εξόδου. Το IPv6 εξαρτάται ακόμη περισσότερο από το ICMPv6. Η δεύτερη εντολή ελέγχει στο Linux μια διαδρομή για MTU 1500 byte.
ip route get 192.0.2.10
ping -M do -s 1472 -c 3 192.0.2.10Σύγκριση στο CH-J Server Manager
Το Server Diagnostics εκτελεί το ping μέσω του εργαλείου του συστήματος, χωρίς δικαιώματα root, παράλληλα με ξεχωριστές δοκιμές TCP, αναγνώρισης SSH, HTTP και TLS, ώστε η αποτυχία του ping να αξιολογείται στο σωστό πλαίσιο. Η αποτυχία του ping εκεί σημαίνει ότι δεν έφτασε απάντηση. Δεν δείχνει πού απορρίφθηκε το πακέτο, και ούτε το traceroute μπορεί απαραίτητα να δώσει αυτή την απάντηση.