Desactivar ARP rompe a túa VPN? Pode, no salto externo

{Dous paquetes viaxan na mesma conexión e obedecen regras distintas. Un é o paquete privado que transporta o túnel, que a interface virtual manexa sen ningunha cabeceira Ethernet. O outro é o paquete cifrado que sae do equipo pola ligazón de acceso, e ese aínda necesita un seguinte salto local resolto a un enderezo de hardware. Confundir os dous é a razón pola que a xente desactiva a resolución de enderezos na interface equivocada e despois se pregunta por que o túnel nunca arranca.}

{Un paquete dentro doutro, dous modelos de entrega}

{A interface virtual en modo encamiñado acepta paquetes IP. Non ten cabeceira Ethernet, nin dominio de difusión, nin enderezos que resolver no seu interior, así que o paquete interno entrégao o propio túnel. O que ocorra na rede de acceso é unha capa de entrega aparte.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Ese paquete externo é unha trama unicast corrente cando sae dunha interface Ethernet, e necesita o enderezo de hardware de destino do seu seguinte salto. A resolución de enderezos proporciónao, e o seguinte salto adoita ser a pasarela local e non o servidor remoto. Entender que a consulta é para a pasarela, non para o extremo, é a maior parte do diagnóstico. Anote os dous enderezos antes de cambiar nada.}

{Atope o veciño que realmente importa}

{Pregunte á táboa de encamiñamento que seguinte salto usa o extremo e despois inspeccione a táboa de veciños para ese salto. O propio extremo raramente aparece alí, porque non está na ligazón local.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Se a entrada está presente e é alcanzable, o camiño externo está ben e o fallo está noutro sitio. Se falta ou está en estado de fallo, a ligazón, o enderezo da pasarela ou unha política que bloquee a resolución é o lugar onde mirar. Cambiar os axustes de cifrado do túnel non pode axudar en ningún dos dous casos. Anote a cadea de estado que informa a táboa de veciños, porque distingue un intento en curso dun fallo permanente.}

{Unha entrada aprendida pode ocultar a dependencia}

{Unha entrada en caché segue funcionando un tempo despois de que desapareza o que a creou, así que unha proba feita minutos despois dun cambio pode pasar polo motivo equivocado. Espere a que a entrada caduque ou bórrea a propósito antes de concluír que a resolución non fai falta.}

{O erro inverso é igual de frecuente: unha entrada sen resolver trátase como proba de que o túnel está roto. Na práctica apunta ao segmento local, a un enderezo duplicado ou a unha regra de seguridade de porto que descarta as tramas que levan a resposta. Comprobe o porto do conmutador antes de tocar a configuración da VPN.}

{Lea os tempos como evidencia. Unha entrada que se resolve e logo caduca repetidamente suxire unha ligazón inestable ou dous dispositivos que responden por un mesmo enderezo, mentres que unha entrada que nunca se resolve apunta ao enderezo da pasarela ou ao filtrado no porto de acceso.}

{Decida entre resolución dinámica e unha entrada fixa}

{A resolución dinámica é a predeterminada por unha razón: segue o hardware cando se substitúe unha pasarela e non necesita coordinación con ninguén. Unha entrada estática é defendible cando a rede se xestiona a propósito e o emparellamento de enderezo e enderezo de hardware forma parte dun deseño documentado.}

{De calquera xeito, aplique a elección á interface de acceso que transporta o paquete externo. Desactivar a resolución nesa interface non endurece o túnel; elimina a capacidade do cliente de alcanzar a pasarela que o transporta, e o fallo parece unha VPN morta en lugar dun problema local de enderezamento.}

{Teña en conta a outra pila}

{IPv6 non usa a resolución de enderezos da mesma forma; usa o descubrimento de veciños. A pregunta por capas segue intacta: como chega o paquete externo real a un seguinte salto local e que demostra que a resposta está actualizada.}

{Comprobe os mesmos dous feitos na outra pila antes de declarar o deseño completo, porque un túnel que transporta ambas as familias ten dous camiños externos que considerar. Anote cal verificou e cal supuxo.}