FortiGate execute ping e ping-options

Visão geral

execute ping testa a reachability de Layer 3 a partir do próprio FortiGate.

O comando base é simples, mas execute ping-options torna-o muito mais útil em troubleshooting real, porque permite controlar o endereço de origem, a interface de saída, o tamanho do pacote, o timeout e se a lógica de SD-WAN/policy-route é utilizada.

Comando base

execute ping 10.2.20.10

Normalmente, o FortiGate envia uma pequena sequência de ICMP Echo Requests e apresenta as respostas e as estatísticas resumidas.

Porque é importante definir a origem

Um ping gerado pelo FortiGate é local-out traffic. Não é igual a tráfego encaminhado gerado por um equipamento de utilizador.

Esta distinção é importante porque o FortiGate pode selecionar um IP de origem ou uma rota que não representam o fluxo que estás a tentar testar.

Ao validar um caminho específico, define explicitamente a origem sempre que seja prático.

Ver as opções disponíveis

execute ping-options ?

As opções úteis incluem source, interface, timeout, packet size, DF bit, TTL e comportamento SD-WAN.

Definir um IP de origem

execute ping-options source 10.1.10.1
execute ping 10.2.20.10

Isto é útil para:

• Testar uma VPN site-to-site a partir de uma subnet local específica.
• Validar return routing para um IP de interface do FortiGate.
• Testar reachability utilizando um endereço que deve estar incluído num Phase 2 selector.

Definir uma interface de saída

execute ping-options interface wan1
execute ping 8.8.8.8

Utiliza esta opção quando precisares de limitar o teste a uma interface de saída específica.

Ver o estado atual do ping-options

execute ping-options view-settings

Isto é importante depois de troubleshooting anterior, porque as opções de ping podem permanecer alteradas para testes posteriores dentro do contexto de CLI.

Repor as opções de ping

Antes ou depois de um teste, repõe os valores por defeito quando apropriado. O comportamento de reset disponível pode variar consoante a versão de FortiOS, por isso confirma com:

execute ping-options ?

Se alteraste definições específicas manualmente, repõe os valores pretendidos/por defeito antes de confiares em testes posteriores.

Consideração sobre SD-WAN

A Fortinet disponibiliza uma opção use-sdwan para testes de ping.

Isto é importante porque um ping gerado localmente pode comportar-se de forma diferente do tráfego de produção que corresponde a regras SD-WAN ou policy routes.

Confirma a sintaxe disponível na versão de FortiOS em execução:

execute ping-options use-sdwan ?

Padrões comuns de troubleshooting

Testar um destino na Internet

execute ping 8.8.8.8

Uma resposta com sucesso comprova reachability ICMP a partir do FortiGate através do caminho local-out selecionado. Não comprova que o DNS funciona nem que os clientes atrás da firewall conseguem chegar à Internet.

Testar uma rede VPN remota com origem controlada

execute ping-options source 10.1.10.1
execute ping 10.2.20.10

Se isto funcionar, mas um cliente em 10.1.10.0/24 continuar sem conseguir comunicar, investiga forwarding policy, configuração do endpoint, selectors, NAT ou diferenças entre o teste originado no FortiGate e o fluxo do cliente.

Testar comportamento de packet size ou MTU

Utiliza data-size e df-bit para testar se fragmentação ou path MTU podem estar a contribuir para o problema.

Confirma sempre primeiro os valores suportados:

execute ping-options ?

Como interpretar falhas

100% de packet loss

Possíveis causas:

• Sem rota
• Rota incorreta
• Host remoto offline
• ICMP bloqueado
• Return route em falta
• VPN selector mismatch
• Endereço de origem incorreto
• SD-WAN/policy-route mismatch

Não concluas que "a rede está em baixo" apenas com base num ping.

O ping funciona, mas a aplicação falha

Isto comprova apenas reachability ICMP. Continua com:

• Testes de portas TCP/UDP a partir de um endpoint adequado
• Packet sniffer
• Debug flow
• Validação das listening ports no servidor
• Verificações da firewall do endpoint
• Logs da aplicação

Workflow de validação

Para um teste de ping com significado, regista:

1. Destino
2. IP de origem
3. Interface de saída ou comportamento SD-WAN
4. Packet loss
5. Latência
6. Se a origem representa o tráfego de produção que estás a testar

Riscos e considerações

O ping tem normalmente baixo impacto. No entanto, uma interpretação incorreta pode levar a conclusões erradas.

O maior erro operacional é tratar um ping com sucesso originado no FortiGate como prova de que uma sessão encaminhada de um utilizador também tem de funcionar.

Artigos relacionados

• FortiGate routing table
• FortiGate packet sniffer
• FortiGate debug flow
• FortiGate IPsec tunnel established but no traffic

Fontes

Consulta a referência oficial da Fortinet indicada nos metadados do artigo.