האם השבתת ARP שוברת את ה-VPN שלכם? זה יכול לקרות, בקפיצה החיצונית
המנהרה נושאת מנות IP; החיבור המוצפן עדיין זקוק לחיפוש מקומי של הקפיצה הבאה. בחרו בין פתרון דינמי לרשומה מתוחזקת.
{שתי מנות נוסעות באותו חיבור ומצייתות לכללים שונים. האחת היא המנה הפרטית שהמנהרה נושאת, שאותה הממשק הווירטואלי מטפל בה בלי שום כותרת Ethernet. האחרת היא המנה המוצפנת שיוצאת מהמכונה דרך קישור הגישה, וזו עדיין זקוקה לקפיצה הבאה מקומית שנפתרת לכתובת חומרה. ערבוב בין השתיים הוא הסיבה שאנשים מכבים את פתרון הכתובות בממשק הלא נכון ואז תוהים למה המנהרה לא מתחילה לעולם.}
{מנה אחת בתוך אחרת, שני מודלי מסירה}
{הממשק הווירטואלי במצב מנותב מקבל מנות IP. אין לו כותרת Ethernet, אין תחום שידור ואין כתובות לפתור בתוכו, ולכן המנה הפנימית נמסרת על ידי המנהרה עצמה. מה שקורה ברשת הגישה הוא שכבת מסירה נפרדת.}
inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address{המנה החיצונית הזו היא מסגרת יוניקאסט רגילה כשהיא יוצאת מממשק Ethernet, והיא זקוקה לכתובת החומרה של היעד של הקפיצה הבאה שלה. פתרון הכתובות מספק אותה, והקפיצה הבאה היא בדרך כלל השער המקומי ולא השרת המרוחק. ההבנה שהחיפוש הוא עבור השער ולא עבור נקודת הקצה היא רוב האבחון. רשמו את שתי הכתובות לפני שתשנו משהו.}
{מצאו את השכן שבאמת חשוב}
{שאלו את טבלת הניתוב איזו קפיצה הבאה נקודת הקצה משתמשת בה, ואז בדקו את טבלת השכנים עבור אותה קפיצה. נקודת הקצה עצמה מופיעה שם לעתים רחוקות, כי היא לא על הקישור המקומי.}
ip route get 198.51.100.20
ip neigh show 192.168.0.1{אם הרשומה קיימת ונגישה, הנתיב החיצוני תקין והתקלה במקום אחר. אם היא חסרה או במצב כשל, הקישור, כתובת השער או מדיניות שחוסמת את הפתרון הם המקום להסתכל בו. שינוי הגדרות הצפנה במנהרה לא יכול לעזור באף אחד משני המקרים. שימו לב למחרוזת המצב שטבלת השכנים מדווחת, כי היא מבחינה בין ניסיון בתהליך לכשל קבוע.}
{רשומה שנלמדה יכולה להסתיר את התלות}
{רשומה במטמון ממשיכה לעבוד זמן מה אחרי שמה שיצר אותה נעלם, ולכן בדיקה שנעשית דקות אחרי שינוי עשויה לעבור מהסיבה הלא נכונה. המתינו שהרשומה תפוג, או מחקו אותה בכוונה, לפני שתסיקו שהפתרון אינו נחוץ.}
{הטעות ההפוכה נפוצה באותה מידה: רשומה שלא נפתרה נתפסת כהוכחה שהמנהרה שבורה. בפועל היא מצביעה על הקטע המקומי, על כתובת כפולה או על כלל אבטחת פורט שמפיל את המסגרות שנושאות את התשובה. בדקו את פורט המתג לפני שתיגעו בתצורת ה-VPN.}
{קראו את התזמון כראיה. רשומה שנפתרת ואז פגה שוב ושוב מרמזת על קישור מתנדנד או על שני התקנים שעונים עבור כתובת אחת, בעוד רשומה שלעולם אינה נפתרת מצביעה על כתובת השער או על סינון בפורט הגישה.}
{החליטו בין פתרון דינמי לרשומה קבועה}
{הפתרון הדינמי הוא ברירת המחדל מסיבה טובה: הוא עוקב אחרי החומרה כשמחליפים שער ואינו צריך תיאום עם אף אחד. רשומה סטטית מוצדקת כשהרשת מנוהלת בכוונה והצימוד בין הכתובת לכתובת החומרה הוא חלק מתכנון מתועד.}
| Approach | Good fit | Cost you accept |
|---|---|---|
| Dynamic resolution | Laptops, changing networks, anything with a spare minute to recover | A short outage while the entry is relearned |
| Permanent entry | Fixed appliances where the pairing is controlled and recorded | A silent failure the day the hardware changes |
{כך או כך, החילו את הבחירה על ממשק הגישה שנושא את המנה החיצונית. כיבוי הפתרון בממשק הזה לא מחזק את המנהרה; הוא מסיר מהלקוח את היכולת להגיע לשער שנושא אותה, והכשל נראה כמו VPN מת ולא כמו בעיית כתובות מקומית.}
{זכרו גם את הערימה השנייה}
{IPv6 אינו משתמש בפתרון כתובות באותה צורה; הוא משתמש בגילוי שכנים. השאלה השכבתית נשארת בעינה: איך מגיעה המנה החיצונית האמיתית לקפיצה הבאה מקומית, ומה מוכיח שהתשובה עדכנית.}
{בדקו את אותן שתי עובדות גם בערימה השנייה לפני שתכריזו שהתכנון שלם, כי מנהרה שנושאת את שתי המשפחות יש לה שני נתיבים חיצוניים לשקול. תעדו איזה מהם אימתתם ואיזה הנחתם.}