Bricht das Abschalten von ARP Ihr VPN? Auf dem äußeren Hop kann es das

{Zwei Pakete reisen in derselben Verbindung und folgen unterschiedlichen Regeln. Das eine ist das private Paket, das der Tunnel trägt und das die virtuelle Schnittstelle ohne jeden Ethernet-Header verarbeitet. Das andere ist das verschlüsselte Paket, das den Rechner über die Zugangsstrecke verlässt, und dieses braucht noch immer einen lokalen nächsten Hop, der zu einer Hardwareadresse aufgelöst wird. Diese beiden zu verwechseln ist der Grund, warum Leute die Adressauflösung auf der falschen Schnittstelle abschalten und sich dann fragen, warum der Tunnel nie startet.}

{Ein Paket im anderen, zwei Zustellmodelle}

{Die virtuelle Schnittstelle im gerouteten Modus nimmt IP-Pakete an. Sie hat keinen Ethernet-Header, keine Broadcast-Domäne und keine Adressen, die in ihr aufgelöst werden müssten, daher wird das innere Paket vom Tunnel selbst zugestellt. Was im Zugangsnetz geschieht, ist eine eigene Zustellungsschicht.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Dieses äußere Paket ist ein gewöhnlicher Unicast-Rahmen, wenn es eine Ethernet-Schnittstelle verlässt, und es braucht die Hardwareadresse des Ziels seines nächsten Hops. Die Adressauflösung liefert sie, und der nächste Hop ist meist das lokale Gateway und nicht der entfernte Server. Zu verstehen, dass die Auflösung dem Gateway gilt und nicht dem Endpunkt, ist der größte Teil der Diagnose. Notieren Sie beide Adressen, bevor Sie etwas ändern.}

{Finden Sie den Nachbarn, auf den es wirklich ankommt}

{Fragen Sie die Routentabelle, welchen nächsten Hop der Endpunkt nutzt, und prüfen Sie dann die Nachbartabelle für diesen Hop. Der Endpunkt selbst taucht dort selten auf, weil er nicht an der lokalen Strecke liegt.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Ist der Eintrag vorhanden und erreichbar, ist der äußere Pfad in Ordnung und der Fehler liegt woanders. Fehlt er oder steht er im Fehlerzustand, sind die Strecke, die Gateway-Adresse oder eine Richtlinie, die die Auflösung blockiert, die richtige Stelle zum Nachsehen. Das Ändern von Verschlüsselungseinstellungen am Tunnel hilft in keinem der beiden Fälle. Notieren Sie die Zustandszeichenkette, die die Nachbartabelle meldet, denn sie unterscheidet einen laufenden Versuch von einem dauerhaften Fehler.}

{Ein gelernter Eintrag kann die Abhängigkeit verbergen}

{Ein zwischengespeicherter Eintrag funktioniert noch eine Weile, nachdem das, was ihn erzeugt hat, verschwunden ist, sodass ein Test wenige Minuten nach einer Änderung aus dem falschen Grund bestehen kann. Warten Sie, bis der Eintrag altert, oder löschen Sie ihn bewusst, bevor Sie schließen, dass die Auflösung unnötig ist.}

{Der umgekehrte Fehler ist ebenso häufig: ein unaufgelöster Eintrag wird als Beweis dafür gewertet, dass der Tunnel kaputt ist. In der Praxis deutet er auf das lokale Segment, auf eine doppelte Adresse oder auf eine Port-Sicherheitsregel, die die Rahmen mit der Antwort verwirft. Prüfen Sie den Switch-Port, bevor Sie die VPN-Konfiguration anfassen.}

{Lesen Sie das Timing als Beweis. Ein Eintrag, der aufgelöst wird und dann wiederholt abläuft, deutet auf eine flatternde Strecke oder zwei Geräte hin, die für eine Adresse antworten, während ein Eintrag, der nie aufgelöst wird, auf die Gateway-Adresse oder auf Filterung am Zugangsport deutet.}

{Entscheiden Sie zwischen dynamischer Auflösung und einem festen Eintrag}

{Die dynamische Auflösung ist aus gutem Grund Standard: Sie folgt der Hardware, wenn ein Gateway ersetzt wird, und braucht keine Abstimmung mit irgendwem. Ein statischer Eintrag ist vertretbar, wenn das Netz bewusst verwaltet wird und die Paarung von Adresse und Hardwareadresse Teil eines dokumentierten Designs ist.}

{In jedem Fall gilt die Wahl für die Zugangs-Schnittstelle, die das äußere Paket trägt. Die Auflösung dort abzuschalten härtet den Tunnel nicht; es nimmt dem Client die Fähigkeit, das Gateway zu erreichen, das ihn trägt, und der Fehler sieht wie ein totes VPN aus und nicht wie ein lokales Adressierungsproblem.}

{Behalten Sie den anderen Stack im Blick}

{IPv6 nutzt die Adressauflösung nicht in derselben Form; es nutzt die Nachbarerkennung. Die geschichtete Frage bleibt unverändert: Wie erreicht das tatsächliche äußere Paket einen lokalen nächsten Hop, und was beweist, dass die Antwort aktuell ist.}

{Prüfen Sie dieselben zwei Tatsachen auch auf dem anderen Stack, bevor Sie das Design für fertig erklären, denn ein Tunnel, der beide Familien trägt, hat zwei äußere Pfade zu bedenken. Halten Sie fest, welchen Sie geprüft und welchen Sie angenommen haben.}