Rozbije vypnutí ARP vaši VPN? Může, na vnější cestě

{Ve stejném spojení cestují dva pakety a řídí se různými pravidly. Jeden je soukromý paket, který tunel přenáší a se kterým virtuální rozhraní pracuje bez jakékoli Ethernetové hlavičky. Druhý je šifrovaný paket, který opouští počítač přes přístupové spojení, a ten stále potřebuje místní další skok přeložený na hardwarovou adresu. Záměna těchto dvou je důvod, proč lidé vypínají překlad adres na špatném rozhraní a pak se diví, proč tunel nikdy nezačne fungovat.}

{Jeden paket uvnitř druhého, dva modely doručení}

{Virtuální rozhraní v routovaném režimu přijímá IP pakety. Nemá Ethernetovou hlavičku, žádnou broadcastovou doménu ani adresy k překladu uvnitř, takže vnitřní paket doručí sám tunel. Co se děje v přístupové síti, je samostatná vrstva doručení.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Tento vnější paket je při opuštění Ethernetového rozhraní obyčejný unicastový rámec a potřebuje cílovou hardwarovou adresu svého dalšího skoku. Překlad adres ji poskytne a dalším skokem je obvykle místní brána, nikoli vzdálený server. Pochopení, že vyhledávání platí pro bránu, a ne pro koncový bod, je většina diagnózy. Zapište si obě adresy, než cokoli změníte.}

{Najděte souseda, na kterém skutečně záleží}

{Zeptejte se směrovací tabulky, který další skok koncový bod používá, a poté prohlédněte tabulku sousedů pro tento skok. Samotný koncový bod se tam objevuje zřídka, protože není na místním spoji.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Pokud je položka přítomná a dostupná, vnější cesta je v pořádku a závada je jinde. Pokud chybí nebo je ve stavu selhání, hledejte spoj, adresu brány nebo zásadu, která překlad blokuje. Změna nastavení šifrování na tunelu nemůže v žádném případě pomoci. Poznamenejte si stavový řetězec, který tabulka sousedů hlásí, protože rozlišuje probíhající pokus od trvalého selhání.}

{Naučená položka může závislost skrýt}

{Položka v mezipaměti funguje nějakou dobu poté, co zmizí to, co ji vytvořilo, takže test provedený několik minut po změně může projít z nesprávného důvodu. Počkejte, až položka vyprší, nebo ji záměrně smažte, než usoudíte, že překlad není potřeba.}

{Opačná chyba je stejně častá: nepřeložená položka se považuje za důkaz, že je tunel rozbitý. V praxi ukazuje na místní segment, na duplicitní adresu nebo na pravidlo zabezpečení portu, které zahazuje rámce nesoucí odpověď. Zkontrolujte port přepínače, než se dotknete konfigurace VPN.}

{Čtěte časování jako důkaz. Položka, která se přeloží a pak opakovaně vyprší, naznačuje nestabilní spoj nebo dvě zařízení odpovídající za jednu adresu, zatímco položka, která se nikdy nepřeloží, ukazuje na adresu brány nebo na filtrování na přístupovém portu.}

{Rozhodněte se mezi dynamickým překladem a pevnou položkou}

{Dynamický překlad je výchozí z dobrého důvodu: sleduje hardware, když se brána vymění, a nepotřebuje koordinaci s nikým. Statická položka je obhajitelná, když je síť záměrně spravovaná a spojení adresy s hardwarovou adresou je součástí dokumentovaného návrhu.}

{Ať tak či onak, použijte volbu na přístupovém rozhraní, které nese vnější paket. Vypnutí překladu na tomto rozhraní tunel nezvýší odolnost; odebere klientovi schopnost dosáhnout brány, která ho nese, a závada vypadá jako mrtvá VPN, nikoli jako místní problém s adresováním.}

{Mějte na paměti druhý zásobník}

{IPv6 nepoužívá překlad adres ve stejné podobě; používá objevování sousedů. Vrstvená otázka zůstává nezměněná: jak se skutečný vnější paket dostane k místnímu dalšímu skoku a co dokazuje, že odpověď je aktuální.}

{Ověřte stejná dvě fakta i na druhém zásobníku, než návrh prohlásíte za hotový, protože tunel přenášející obě rodiny má dvě vnější cesty k úvaze. Poznamenejte si, kterou jste ověřili a kterou jste předpokládali.}