¿Desactivar ARP rompe tu VPN? Puede, en el salto externo

{Dos paquetes viajan en la misma conexión y obedecen reglas distintas. Uno es el paquete privado que transporta el túnel, que la interfaz virtual maneja sin ninguna cabecera Ethernet. El otro es el paquete cifrado que sale del equipo por el enlace de acceso, y ese todavía necesita un siguiente salto local resuelto a una dirección de hardware. Confundir ambos es la razón por la que la gente desactiva la resolución de direcciones en la interfaz equivocada y luego se pregunta por qué el túnel nunca arranca.}

{Un paquete dentro de otro, dos modelos de entrega}

{La interfaz virtual en modo enrutado acepta paquetes IP. No tiene cabecera Ethernet, ni dominio de difusión, ni direcciones que resolver en su interior, así que el paquete interno lo entrega el propio túnel. Lo que ocurra en la red de acceso es una capa de entrega aparte.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Ese paquete externo es una trama unicast corriente cuando sale de una interfaz Ethernet, y necesita la dirección de hardware de destino de su siguiente salto. La resolución de direcciones se la proporciona, y el siguiente salto suele ser la puerta de enlace local y no el servidor remoto. Entender que la consulta es para la puerta de enlace, no para el extremo, es la mayor parte del diagnóstico. Anote las dos direcciones antes de cambiar nada.}

{Encuentre el vecino que realmente importa}

{Pregunte a la tabla de rutas qué siguiente salto usa el extremo y luego inspeccione la tabla de vecinos para ese salto. El propio extremo rara vez aparece allí, porque no está en el enlace local.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Si la entrada está presente y es alcanzable, la ruta externa está bien y el fallo está en otro sitio. Si falta o está en estado de fallo, el enlace, la dirección de la puerta de enlace o una política que bloquee la resolución es el lugar donde mirar. Cambiar los ajustes de cifrado del túnel no puede ayudar en ninguno de los dos casos. Anote la cadena de estado que informa la tabla de vecinos, porque distingue un intento en curso de un fallo permanente.}

{Una entrada aprendida puede ocultar la dependencia}

{Una entrada en caché sigue funcionando un tiempo después de que desaparezca lo que la creó, así que una prueba hecha minutos después de un cambio puede pasar por el motivo equivocado. Espere a que la entrada caduque o bórrela a propósito antes de concluir que la resolución no hace falta.}

{El error inverso es igual de frecuente: una entrada sin resolver se trata como prueba de que el túnel está roto. En la práctica apunta al segmento local, a una dirección duplicada o a una regla de seguridad de puerto que descarta las tramas que llevan la respuesta. Compruebe el puerto del conmutador antes de tocar la configuración de la VPN.}

{Lea los tiempos como evidencia. Una entrada que se resuelve y luego caduca repetidamente sugiere un enlace inestable o dos dispositivos que responden por una misma dirección, mientras que una entrada que nunca se resuelve apunta a la dirección de la puerta de enlace o al filtrado en el puerto de acceso.}

{Decida entre resolución dinámica y una entrada fija}

{La resolución dinámica es la predeterminada por una razón: sigue al hardware cuando se sustituye una puerta de enlace y no necesita coordinación con nadie. Una entrada estática es defendible cuando la red se gestiona a propósito y el emparejamiento de dirección y dirección de hardware forma parte de un diseño documentado.}

{En cualquier caso, aplique la elección a la interfaz de acceso que transporta el paquete externo. Desactivar la resolución en esa interfaz no endurece el túnel; elimina la capacidad del cliente de alcanzar la puerta de enlace que lo transporta, y el fallo parece una VPN muerta en lugar de un problema local de direccionamiento.}

{Tenga en cuenta la otra pila}

{IPv6 no usa la resolución de direcciones de la misma forma; usa el descubrimiento de vecinos. La pregunta por capas sigue intacta: cómo llega el paquete externo real a un siguiente salto local y qué demuestra que la respuesta está al día.}

{Compruebe los mismos dos hechos en la otra pila antes de declarar el diseño completo, porque un túnel que transporta ambas familias tiene dos rutas externas que considerar. Anote cuál verificó y cuál supuso.}