Prekida li onemogućavanje ARP-a vaš VPN? Može, na vanjskom skoku

{Dva paketa putuju u istoj vezi i pokoravaju se različitim pravilima. Jedan je privatni paket koji tunel nosi, a koji virtualno sučelje obrađuje bez ikakvog Ethernet zaglavlja. Drugi je šifrirani paket koji napušta računalo preko pristupne veze, i on još uvijek treba lokalni sljedeći skok razriješen u hardversku adresu. Miješanje tih dvaju je način na koji ljudi isključe razrješavanje adresa na pogrešnom sučelju i zatim se pitaju zašto tunel nikad ne počne raditi.}

{Jedan paket unutar drugoga, dva modela dostave}

{Virtualno sučelje u usmjerenom načinu rada prihvaća IP pakete. Ono nema Ethernet zaglavlje, nema broadcast domenu i nema adrese koje treba razriješiti unutar sebe, pa unutarnji paket dostavlja sam tunel. Što se god događa na pristupnoj mreži, to je zaseban sloj dostave.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Taj vanjski paket običan je unicast okvir kad napusti Ethernet sučelje i treba mu odredišna hardverska adresa njegova sljedećeg skoka. Razrješavanje adresa je daje, a sljedeći skok je obično lokalni pristupnik, a ne udaljeni poslužitelj. Razumijevanje da je pretraga za pristupnik, a ne za krajnju točku, jest veći dio dijagnoze. Zapišite obje adrese prije nego što bilo što promijenite.}

{Pronađite susjeda koji je stvarno važan}

{Pitajte usmjerivačku tablicu koji sljedeći skok koristi krajnja točka, zatim pregledajte tablicu susjeda za taj skok. Sama krajnja točka rijetko se tamo pojavljuje jer nije na lokalnoj vezi.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Ako je unos prisutan i dostupan, vanjski put je u redu i kvar je negdje drugdje. Ako nedostaje ili je u stanju kvara, mjesto za traženje je veza, adresa pristupnika ili pravilo koje blokira razrješavanje. Promjena postavki šifriranja na tunelu ne može pomoći ni u jednom slučaju. Zabilježite niz stanja koji prijavljuje tablica susjeda jer razlikuje pokušaj u tijeku od trajnog kvara.}

{Naučeni unos može sakriti ovisnost}

{Predmemorirani unos nastavlja raditi neko vrijeme nakon što nestane ono što ga je stvorilo, pa test izveden nekoliko minuta nakon promjene može proći iz pogrešnog razloga. Pričekajte da unos istekne ili ga namjerno izbrišite prije nego zaključite da razrješavanje nije potrebno.}

{Obrnuta je pogreška jednako česta: nerazriješeni unos smatra se dokazom da je tunel pokvaren. U praksi on upućuje na lokalni segment, na dvostruku adresu ili na pravilo sigurnosti priključka koje odbacuje okvire koji nose odgovor. Provjerite priključak na preklopniku prije nego što dirate VPN konfiguraciju.}

{Čitajte vrijeme kao dokaz. Unos koji se razriješi i zatim više puta istekne upućuje na nestabilnu vezu ili na dva uređaja koja odgovaraju za jednu adresu, dok unos koji se nikad ne razriješi upućuje na adresu pristupnika ili na filtriranje na pristupnom priključku.}

{Odlučite između dinamičkog razrješavanja i fiksnog unosa}

{Dinamičko razrješavanje zadano je s razlogom: slijedi hardver kad se pristupnik zamijeni i ne treba nikakvu koordinaciju ni s kim. Statični unos ima smisla kad se mrežom upravlja namjerno i kad je uparivanje adrese s hardverskom adresom dio dokumentiranog dizajna.}

{U svakom slučaju, primijenite odabir na pristupno sučelje koje nosi vanjski paket. Isključivanje razrješavanja na tom sučelju ne učvršćuje tunel; ono ukida klijentovu mogućnost da dosegne pristupnik koji ga nosi, a kvar izgleda kao mrtav VPN, a ne kao lokalni problem s adresiranjem.}

{Imajte na umu i drugi stog}

{IPv6 ne koristi razrješavanje adresa u istom obliku; koristi otkrivanje susjeda. Slojevito pitanje ostaje nepromijenjeno: kako stvarni vanjski paket dolazi do lokalnog sljedećeg skoka i što dokazuje da je odgovor aktualan.}

{Provjerite iste dvije činjenice na drugom stogu prije nego što dizajn proglasite dovršenim, jer tunel koji nosi obje obitelji ima dva vanjska puta za razmatranje. Zabilježite koji ste provjerili, a koji ste pretpostavili.}