Elrontja a VPN-t az ARP kikapcsolása? A külső ugrásnál igen
Az alagút IP-csomagokat szállít; a titkosított kapcsolatnak továbbra is kell egy helyi következő ugrás feloldás. Válasszon a dinamikus feloldás és egy karbantartott bejegyzés között.
{Két csomag utazik ugyanabban a kapcsolatban, és különböző szabályokat követ. Az egyik az a magáncsomag, amelyet az alagút szállít, és amelyet a virtuális interfész minden Ethernet-fejléc nélkül kezel. A másik a titkosított csomag, amely elhagyja a gépet a hozzáférési linken, és annak továbbra is szüksége van egy helyi következő ugrásra, hardvercímre feloldva. A kettő összekeverése az oka annak, hogy az emberek a rossz interfészen kapcsolják ki a címfeloldást, majd azon tűnődnek, miért nem indul el soha az alagút.}
{Egy csomag a másikban, két kézbesítési modell}
{A virtuális interfész routolt módban IP-csomagokat fogad. Nincs Ethernet-fejléce, nincs broadcast tartománya, és nincsenek benne feloldandó címek, ezért a belső csomagot maga az alagút kézbesíti. Ami a hozzáférési hálózaton történik, az külön kézbesítési réteg.}
inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address{Ez a külső csomag közönséges unicast keret, amikor elhagy egy Ethernet-interfészt, és szüksége van a következő ugrás cél-hardvercímére. A címfeloldás biztosítja ezt, és a következő ugrás rendszerint a helyi átjáró, nem a távoli kiszolgáló. Annak megértése, hogy a keresés az átjáróra vonatkozik, nem a végpontra, a diagnózis nagy része. Írja fel mindkét címet, mielőtt bármit módosít.}
{Találja meg azt a szomszédot, amely valóban számít}
{Kérdezze meg az útválasztási táblától, melyik következő ugrást használja a végpont, majd vizsgálja meg a szomszédtáblát arra az ugrásra. Maga a végpont ritkán jelenik meg ott, mert nincs a helyi linken.}
ip route get 198.51.100.20
ip neigh show 192.168.0.1{Ha a bejegyzés jelen van és elérhető, a külső útvonal rendben van, és a hiba máshol van. Ha hiányzik vagy hibás állapotban van, a link, az átjáró címe vagy a feloldást blokkoló szabályzat a vizsgálandó hely. A titkosítási beállítások módosítása az alagúton egyik esetben sem segíthet. Jegyezze fel az állapotszöveget, amelyet a szomszédtábla jelent, mert megkülönbözteti a folyamatban lévő kísérletet a tartós hibától.}
{Egy megtanult bejegyzés elrejtheti a függőséget}
{A gyorsítótárazott bejegyzés még egy ideig működik azután, hogy eltűnt az, ami létrehozta, ezért a változtatás után néhány perccel végzett teszt rossz okból is sikerülhet. Várja meg, amíg a bejegyzés elévül, vagy törölje szándékosan, mielőtt arra jut, hogy a feloldás felesleges.}
{A fordított hiba ugyanilyen gyakori: a feloldatlan bejegyzést az alagút meghibásodásának bizonyítékaként kezelik. A gyakorlatban a helyi szegmensre, egy duplikált címre vagy egy portbiztonsági szabályra mutat, amely eldobja a választ hordozó kereteket. Ellenőrizze a kapcsoló portját, mielőtt hozzányúl a VPN-konfigurációhoz.}
{Olvassa az időzítést bizonyítékként. Az a bejegyzés, amely feloldódik, majd ismételten lejár, ingadozó linkre vagy két eszközre utal, amelyek egy címre válaszolnak, míg az a bejegyzés, amely soha nem oldódik fel, az átjáró címére vagy a hozzáférési port szűrésére mutat.}
{Döntsön a dinamikus feloldás és egy állandó bejegyzés között}
{A dinamikus feloldás okkal az alapértelmezett: követi a hardvert, amikor az átjárót kicserélik, és nem igényel egyeztetést senkivel. Az állandó bejegyzés akkor védhető, ha a hálózatot szándékosan kezelik, és a cím és a hardvercím párosítása dokumentált tervezés része.}
| Approach | Good fit | Cost you accept |
|---|---|---|
| Dynamic resolution | Laptops, changing networks, anything with a spare minute to recover | A short outage while the entry is relearned |
| Permanent entry | Fixed appliances where the pairing is controlled and recorded | A silent failure the day the hardware changes |
{Akárhogy is, a választás a hozzáférési interfészre vonatkozik, amely a külső csomagot hordozza. A feloldás kikapcsolása azon az interfészen nem erősíti meg az alagutat; elveszi az ügyféltől a lehetőséget, hogy elérje az őt hordozó átjárót, és a hiba halott VPN-nek látszik, nem helyi címzési problémának.}
{Tartsa szem előtt a másik vermet}
{Az IPv6 nem ugyanabban a formában használja a címfeloldást; szomszédfelderítést használ. A réteges kérdés változatlan: hogyan éri el a tényleges külső csomag a helyi következő ugrást, és mi bizonyítja, hogy a válasz naprakész.}
{Ellenőrizze ugyanezt a két tényt a másik vermen is, mielőtt késznek nyilvánítja a tervet, mert a két családot szállító alagútnak két külső útvonalat kell mérlegelnie. Jegyezze fel, melyiket ellenőrizte és melyiket feltételezte.}