Ці ламае адключэнне ARP ваш VPN? Можа, на знешнім пераходзе

{Два пакеты ідуць у адным злучэнні і падпарадкоўваюцца розным правілам. Адзін — гэта прыватны пакет, які нясе тунэль; віртуальны інтэрфейс апрацоўвае яго без якога-небудзь загалоўка Ethernet. Другі — зашыфраваны пакет, які пакідае машыну праз канал доступу, і яму ўсё яшчэ патрэбны лакальны наступны пераход, развязаны ў апаратны адрас. Менавіта блытаніна паміж гэтымі двума прыводзіць да таго, што людзі адключаюць развязанне адрасоў на няправільным інтэрфейсе, а потым дзівяцца, чаму тунэль не запускаецца.}

{Адзін пакет унутры другога, дзве мадэлі дастаўкі}

{Віртуальны інтэрфейс у рэжыме маршрутызацыі прымае IP-пакеты. У ім няма загалоўка Ethernet, няма шырокавяшчальнага дамена і няма адрасоў для развязання ўнутры, таму ўнутраны пакет дастаўляе сам тунэль. Усё, што адбываецца ў сетцы доступу, — гэта асобны ўзровень дастаўкі.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Гэты знешні пакет — звычайны кадр аднаадраснай перадачы, калі ён пакідае інтэрфейс Ethernet, і яму патрэбны апаратны адрас прызначэння яго наступнага пераходу. Развязанне адрасоў дае яго, і наступным пераходам звычайна з'яўляецца лакальны шлюз, а не аддалены сервер. Разуменне таго, што пошук прызначаны для шлюза, а не для канчатковага пункта, — гэта большая частка дыягностыкі. Запішыце абодва адрасы, перш чым нешта змяніць.}

{Знайдзіце суседа, які сапраўды мае значэнне}

{Спытайце табліцу маршрутызацыі, які наступны пераход выкарыстоўвае канчатковы пункт, затым праверце табліцу суседзяў для гэтага пераходу. Сам канчатковы пункт там з'яўляецца рэдка, бо ён не ў лакальным канале.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Калі запіс ёсць і дасяжны, знешні шлях у парадку, і няспраўнасць у іншым месцы. Калі ён адсутнічае або ў стане збою, шукаць трэба ў канале, адрасе шлюза або ў палітыцы, якая блакуе развязанне. Змена налад шыфравання на тунэлі не дапаможа ні ў якім разе. Звярніце ўвагу на радок стану, які паведамляе табліца суседзяў, бо ён адрознівае спробу, што ідзе, ад пастаяннага збою.}

{Вывучаны запіс можа хаваць залежнасць}

{Кэшаваны запіс працягвае працаваць некаторы час пасля таго, як знікае тое, што яго стварыла, таму тэст, праведзены праз некалькі хвілін пасля змены, можа прайсці па няправільнай прычыне. Дачакайцеся, пакуль запіс састарэе, або выдаліце яго свядома, перш чым рабіць выснову, што развязанне не патрэбна.}

{Адваротная памылка такая ж распаўсюджаная: няразвязаны запіс лічаць доказам таго, што тунэль зламаны. На практыцы ён паказвае на лакальны сегмент, на дублікат адраса або на правіла бяспекі порта, якое адкідвае кадры з адказам. Праверце порт камутатара, перш чым чапаць канфігурацыю VPN.}

{Чытайце час як доказ. Запіс, які развязваецца і потым шматразова сканчаецца, паказвае на дрыготкі канал або на дзве прылады, што адказваюць за адзін адрас, а запіс, які ніколі не развязваецца, паказвае на адрас шлюза або на фільтраванне на порце доступу.}

{Выберыце паміж дынамічным развязаннем і фіксаваным запісам}

{Дынамічнае развязанне з'яўляецца стандартам нездарма: яно ідзе за абсталяваннем, калі шлюз замяняюць, і не патрабуе ўзгаднення ні з кім. Статычны запіс апраўданы, калі сетка свядома кіруецца і сувязь адраса з апаратным адрасам з'яўляецца часткай дакументаванага дызайну.}

{У любым выпадку ўжывеце выбар да інтэрфейса доступу, які нясе знешні пакет. Адключэнне развязання на гэтым інтэрфейсе не ўмацоўвае тунэль; яно пазбаўляе кліента магчымасці дасягнуць шлюза, які яго нясе, і збой выглядае як мёртвы VPN, а не як лакальная праблема адрасацыі.}

{Трымайце ў думках другі стэк}

{IPv6 не выкарыстоўвае развязанне адрасоў у такой жа форме; ён выкарыстоўвае выяўленне суседзяў. Пытанне ўзроўняў застаецца нязменным: як фактычны знешні пакет дасягае лакальнага наступнага пераходу і што даказвае, што адказ актуальны.}

{Праверце тыя ж два факты на другім стэку, перш чым абвясціць дызайн завершаным, бо тунэль, які нясе абедзве сям'і, мае два знешнія шляхі для разгляду. Запішыце, які з іх вы праверылі, а які прынялі на веру.}