Счупва ли VPN-а ви изключването на ARP? Може, на външния хоп

{Два пакета пътуват в една и съща връзка и се подчиняват на различни правила. Единият е частният пакет, който тунелът пренася и който виртуалният интерфейс обработва без никакъв Ethernet заглавен блок. Другият е криптираният пакет, който напуска машината през достъпната връзка, и той все още се нуждае от локален следващ хоп, разрешен до хардуерен адрес. Бъркането на двете е начинът, по който хората изключват разрешаването на адреси на грешния интерфейс и после се чудят защо тунелът никога не стартира.}

{Един пакет в друг, два модела на доставяне}

{Виртуалният интерфейс в маршрутизиран режим приема IP пакети. Той няма Ethernet заглавен блок, няма широкомовен домейн и няма адреси за разрешаване вътре в него, затова вътрешният пакет се доставя от самия тунел. Каквото и да се случва в достъпната мрежа, това е отделен слой на доставяне.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Този външен пакет е обикновена едноадресна рамка, когато напуска Ethernet интерфейс, и се нуждае от хардуерния адрес на дестинацията на своя следващ хоп. Разрешаването на адреси го осигурява, а следващият хоп обикновено е локалният шлюз, а не отдалеченият сървър. Разбирането, че търсенето е за шлюза, а не за крайната точка, е по-голямата част от диагностиката. Запишете двата адреса, преди да промените нещо.}

{Намерете съседа, който наистина има значение}

{Попитайте таблицата за маршрутизация кой следващ хоп използва крайната точка, после прегледайте таблицата на съседите за този хоп. Самата крайна точка рядко се появява там, защото не е в локалната връзка.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Ако записът е налице и е достижим, външният път е наред и повредата е другаде. Ако липсва или е в състояние на отказ, мястото за търсене е връзката, адресът на шлюза или политика, която блокира разрешаването. Промяната на шифрови настройки на тунела не може да помогне в нито един от двата случая. Отбележете низа за състоянието, който таблицата на съседите съобщава, защото той различава опит в ход от трайна повреда.}

{Научен запис може да прикрие зависимостта}

{Кеширан запис продължава да работи известно време след като това, което го е създало, изчезне, така че тест, направен минути след промяна, може да мине по грешна причина. Изчакайте записът да остарее или го изтрийте нарочно, преди да заключите, че разрешаването е ненужно.}

{Обратната грешка е също толкова честа: неразрешен запис се приема за доказателство, че тунелът е счупен. На практика той сочи към локалния сегмент, към дублиран адрес или към правило за сигурност на порта, което изхвърля рамките, носещи отговора. Проверете порта на комутатора, преди да пипате конфигурацията на VPN.}

{Четете времето като доказателство. Запис, който се разрешава и после многократно изтича, подсказва нестабилна връзка или две устройства, отговарящи за един адрес, докато запис, който никога не се разрешава, сочи към адреса на шлюза или към филтриране на достъпния порт.}

{Изберете между динамично разрешаване и фиксиран запис}

{Динамичното разрешаване е по подразбиране с причина: то следва хардуера, когато шлюзът бъде сменен, и не изисква координация с никого. Статичният запис е защитим, когато мрежата се управлява умишлено и свързването на адрес с хардуерен адрес е част от документиран дизайн.}

{Във всеки случай приложете избора към достъпния интерфейс, който носи външния пакет. Изключването на разрешаването на този интерфейс не укрепва тунела; то отнема способността на клиента да достигне шлюза, който го носи, и повредата изглежда като мъртъв VPN, а не като локален проблем с адресирането.}

{Имайте предвид и другия стек}

{IPv6 не използва разрешаване на адреси в същата форма; той използва откриване на съседи. Въпросът за слоевете остава непроменен: как действителният външен пакет достига до локален следващ хоп и какво доказва, че отговорът е актуален.}

{Проверете същите два факта и на другия стек, преди да обявите дизайна за завършен, защото тунел, който носи и двете семейства, има два външни пътя за обмисляне. Запишете кой проверихте и кой приехте за даденост.}