Waarom dit gebeurt
ping gebruikt ICMP, terwijl SSH en HTTPS TCP-poorten gebruiken. Dit zijn afzonderlijke verkeersstromen en een firewall kan de ene laten vallen en de andere doorlaten. Veel netwerken en cloudbeveiligingsgroepen blokkeren ICMP-echo standaard. Een ontbrekend antwoord betekent dus niet dat de server uitgevallen is, en een antwoord bewijst niet dat de diensten werken.
Test de dienst, niet ping
Controleer de poorten en protocollen die u echt nodig hebt. Als die tests slagen, is de server voor die diensten bereikbaar en wijst de mislukte ping alleen op een filter ergens onderweg.
nc -vz -w 5 server.example 22
nc -vz -w 5 server.example 443
curl -sSI https://server.example/Traceer de route met TCP
Een klassieke traceroute kan alleen sterretjes tonen wanneer ICMP of UDP wordt gefilterd. Met TCP naar een open poort komt u vaak verder. Hiervoor zijn root-rechten nodig en mogelijk moet u traceroute eerst installeren, omdat minimale systemen het niet bevatten.
sudo traceroute -T -p 443 server.exampleZoek het filter op uw server
Als u de server beheert, bekijk dan de firewall en de kernelinstelling die echoverzoeken negeert. Houd er rekening mee dat de blokkade ook buiten de server kan zitten, in een beveiligingsgroep of router, en dat een provider ICMP in zijn netwerk kan filteren zonder dat u een regel ziet.
sysctl net.ipv4.icmp_echo_ignore_all
sudo nft list ruleset | grep -i icmp
sudo ufw status verboseWanneer geblokkeerd ICMP wel storingen veroorzaakt
Echo blokkeren kan meestal geen kwaad, maar al het ICMP-verkeer blokkeren wel. Path MTU discovery is afhankelijk van berichten over een te groot pakket. Zonder die berichten werken kleine gegevensuitwisselingen en lopen grote vast, bijvoorbeeld een SSH-aanmelding die slaagt maar vervolgens bij veel uitvoer blijft hangen. IPv6 is nog sterker afhankelijk van ICMPv6. De tweede opdracht test op Linux een route met een MTU van 1500 bytes.
ip route get 192.0.2.10
ping -M do -s 1472 -c 3 192.0.2.10Vergelijken in CH-J Server Manager
Server Diagnostics voert ping uit via de systeemtool, zonder root-rechten, naast afzonderlijke tests voor TCP, SSH-identificatie, HTTP en TLS. Zo kunt u een mislukte ping in context beoordelen. Een mislukte ping betekent daar dat er geen antwoord is aangekomen. Het zegt niet waar het pakket is weggevallen, en ook een traceroute kan die vraag mogelijk niet beantwoorden.