Désactiver ARP casse-t-il votre VPN ? Ça peut, sur le saut externe

{Deux paquets circulent dans la même connexion et obéissent à des règles différentes. L’un est le paquet privé transporté par le tunnel, que l’interface virtuelle traite sans aucune en-tête Ethernet. L’autre est le paquet chiffré qui quitte la machine par la liaison d’accès, et celui-là a toujours besoin d’un prochain saut local résolu en adresse matérielle. Confondre les deux, c’est ainsi que des gens désactivent la résolution d’adresses sur la mauvaise interface avant de se demander pourquoi le tunnel ne démarre jamais.}

{Un paquet dans un autre, deux modèles de livraison}

{L’interface virtuelle en mode routé accepte les paquets IP. Elle n’a pas d’en-tête Ethernet, pas de domaine de diffusion et aucune adresse à résoudre en son sein, si bien que le paquet interne est livré par le tunnel lui-même. Ce qui se passe sur le réseau d’accès relève d’une couche de livraison distincte.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Ce paquet externe est une trame unicast ordinaire lorsqu’il quitte une interface Ethernet, et il a besoin de l’adresse matérielle de destination de son prochain saut. La résolution d’adresses la fournit, et le prochain saut est généralement la passerelle locale plutôt que le serveur distant. Comprendre que la résolution vise la passerelle et non le point de terminaison, c’est l’essentiel du diagnostic. Notez les deux adresses avant de changer quoi que ce soit.}

{Trouvez le voisin qui compte vraiment}

{Demandez à la table de routage quel prochain saut le point de terminaison utilise, puis examinez la table des voisins pour ce saut. Le point de terminaison lui-même y apparaît rarement, car il n’est pas sur le lien local.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Si l’entrée est présente et joignable, le chemin externe est correct et la panne est ailleurs. Si elle manque ou est en état d’échec, la liaison, l’adresse de la passerelle ou une politique qui bloque la résolution sont à examiner. Modifier les paramètres de chiffrement du tunnel ne peut aider dans aucun des deux cas. Notez la chaîne d’état que rapporte la table des voisins, car elle distingue une tentative en cours d’un échec permanent.}

{Une entrée apprise peut masquer la dépendance}

{Une entrée en cache continue de fonctionner un moment après la disparition de ce qui l’a créée, si bien qu’un test effectué quelques minutes après un changement peut réussir pour la mauvaise raison. Attendez que l’entrée expire, ou supprimez-la délibérément, avant de conclure que la résolution est inutile.}

{L’erreur inverse est tout aussi courante : une entrée non résolue est prise pour la preuve que le tunnel est cassé. En pratique, elle désigne le segment local, une adresse en double ou une règle de sécurité de port qui rejette les trames portant la réponse. Vérifiez le port du commutateur avant de toucher à la configuration VPN.}

{Lisez le minutage comme une preuve. Une entrée qui se résout puis expire à répétition suggère une liaison instable ou deux appareils répondant pour une même adresse, tandis qu’une entrée qui ne se résout jamais désigne l’adresse de la passerelle ou un filtrage sur le port d’accès.}

{Choisissez entre résolution dynamique et entrée fixe}

{La résolution dynamique est la valeur par défaut pour une bonne raison : elle suit le matériel lorsqu’une passerelle est remplacée et ne demande aucune coordination avec quiconque. Une entrée statique se défend lorsque le réseau est géré délibérément et que l’appariement de l’adresse et de l’adresse matérielle fait partie d’une conception documentée.}

{Dans tous les cas, appliquez le choix à l’interface d’accès qui porte le paquet externe. Désactiver la résolution sur cette interface ne durcit pas le tunnel ; cela retire au client la capacité d’atteindre la passerelle qui le porte, et la panne ressemble à un VPN mort plutôt qu’à un problème d’adressage local.}

{Gardez l’autre pile à l’esprit}

{IPv6 n’utilise pas la résolution d’adresses sous la même forme ; il utilise la découverte de voisins. La question en couches reste inchangée : comment le paquet externe réel atteint-il un prochain saut local, et qu’est-ce qui prouve que la réponse est à jour.}

{Vérifiez les deux mêmes faits sur l’autre pile avant de déclarer la conception terminée, car un tunnel qui transporte les deux familles a deux chemins externes à considérer. Notez lequel vous avez vérifié et lequel vous avez supposé.}