Desactivar l'ARP trenca la teva VPN? Pot fer-ho, al salt extern

{Dos paquets viatgen en la mateixa connexió i obeeixen regles diferents. Un és el paquet privat que transporta el túnel, que la interfície virtual gestiona sense cap capçalera Ethernet. L'altre és el paquet xifrat que surt de la màquina per l'enllaç d'accés, i aquest encara necessita un següent salt local resolt a una adreça de maquinari. Confondre els dos és com la gent desactiva la resolució d'adreces a la interfície equivocada i després es pregunta per què el túnel no arrenca mai.}

{Un paquet dins d'un altre, dos models de lliurament}

{La interfície virtual en mode encaminat accepta paquets IP. No té capçalera Ethernet, ni domini de difusió, ni adreces per resoldre a dins, de manera que el paquet intern el lliura el mateix túnel. El que passi a la xarxa d'accés és una capa de lliurament separada.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Aquest paquet extern és una trama unicast ordinària quan surt d'una interfície Ethernet, i necessita l'adreça de maquinari de destí del seu següent salt. La resolució d'adreces la proporciona, i el següent salt sol ser la passarel·la local i no el servidor remot. Entendre que la consulta és per a la passarel·la, no per al punt final, és la major part del diagnòstic. Anoteu les dues adreces abans de canviar res.}

{Trobeu el veí que realment importa}

{Pregunteu a la taula d'encaminament quin següent salt fa servir el punt final i, després, inspeccioneu la taula de veïns per a aquest salt. El punt final mateix hi apareix poques vegades, perquè no és a l'enllaç local.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Si l'entrada hi és i és abastable, el camí extern està bé i la fallada és en un altre lloc. Si falta o està en estat de fallada, cal mirar l'enllaç, l'adreça de la passarel·la o una política que bloquegi la resolució. Canviar la configuració de xifratge del túnel no pot ajudar en cap dels dos casos. Anoteu la cadena d'estat que informa la taula de veïns, perquè distingeix un intent en curs d'una fallada permanent.}

{Una entrada apresa pot amagar la dependència}

{Una entrada en memòria cau continua funcionant un temps després que desaparegui allò que la va crear, de manera que una prova feta minuts després d'un canvi pot passar per la raó equivocada. Espereu que l'entrada caduqui o esborreu-la deliberadament abans de concloure que la resolució no cal.}

{L'error invers és igual de comú: una entrada no resolta es tracta com a prova que el túnel està trencat. A la pràctica assenyala el segment local, una adreça duplicada o una regla de seguretat de port que descarta les trames que porten la resposta. Comproveu el port del commutador abans de tocar la configuració de la VPN.}

{Llegiu el temps com a evidència. Una entrada que es resol i després caduca repetidament suggereix un enllaç inestable o dos dispositius que responen per una adreça, mentre que una entrada que no es resol mai assenyala l'adreça de la passarel·la o el filtratge al port d'accés.}

{Decidiu entre resolució dinàmica i una entrada fixa}

{La resolució dinàmica és la predeterminada per una raó: segueix el maquinari quan es substitueix una passarel·la i no necessita coordinació amb ningú. Una entrada estàtica és defensable quan la xarxa es gestiona deliberadament i l'aparellament d'adreça i adreça de maquinari forma part d'un disseny documentat.}

{De qualsevol manera, apliqueu l'elecció a la interfície d'accés que transporta el paquet extern. Desactivar la resolució en aquesta interfície no reforça el túnel; elimina la capacitat del client d'arribar a la passarel·la que el transporta, i la fallada sembla una VPN morta en lloc d'un problema local d'adreçament.}

{Tingueu present l'altra pila}

{IPv6 no fa servir la resolució d'adreces en la mateixa forma; fa servir el descobriment de veïns. La pregunta per capes es manté intacta: com arriba el paquet extern real a un següent salt local i què demostra que la resposta és actual.}

{Comproveu els mateixos dos fets a l'altra pila abans de declarar el disseny complet, perquè un túnel que transporta les dues famílies té dos camins externs a considerar. Anoteu quin vau verificar i quin vau suposar.}