Apakah menonaktifkan ARP merusak VPN Anda? Bisa, pada hop luar

{Dua paket melakukan perjalanan dalam koneksi yang sama dan mematuhi aturan berbeda. Yang satu adalah paket privat yang dibawa terowongan, yang ditangani antarmuka virtual tanpa header Ethernet apa pun. Yang lain adalah paket terenkripsi yang meninggalkan mesin melalui tautan akses, dan paket itu masih memerlukan hop berikutnya lokal yang diresolusikan ke alamat perangkat keras. Mencampuradukkan keduanya adalah cara orang menonaktifkan resolusi alamat pada antarmuka yang salah lalu bertanya-tanya mengapa terowongan tidak pernah mulai.}

{Satu paket di dalam yang lain, dua model pengiriman}

{Antarmuka virtual dalam mode terrouter menerima paket IP. Ia tidak memiliki header Ethernet, tidak memiliki domain siaran, dan tidak memiliki alamat untuk diresolusikan di dalamnya, sehingga paket dalam dikirim oleh terowongan itu sendiri. Apa pun yang terjadi di jaringan akses adalah lapisan pengiriman terpisah.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Paket luar itu adalah frame unicast biasa ketika meninggalkan antarmuka Ethernet, dan ia memerlukan alamat perangkat keras tujuan hop berikutnya. Resolusi alamat menyediakannya, dan hop berikutnya biasanya gateway lokal, bukan server jarak jauh. Memahami bahwa pencarian itu untuk gateway, bukan untuk titik akhir, adalah sebagian besar diagnosis. Catat kedua alamat sebelum Anda mengubah apa pun.}

{Temukan tetangga yang benar-benar penting}

{Tanyakan kepada tabel perutean hop berikutnya mana yang dipakai titik akhir, lalu periksa tabel tetangga untuk hop itu. Titik akhir itu sendiri jarang muncul di sana, karena ia tidak berada di tautan lokal.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Jika entri ada dan dapat dijangkau, jalur luar baik-baik saja dan kesalahan ada di tempat lain. Jika entri hilang atau dalam keadaan gagal, tautan, alamat gateway, atau kebijakan yang memblokir resolusi adalah tempat untuk melihat. Mengubah pengaturan cipher pada terowongan tidak dapat membantu dalam kedua kasus. Catat string status yang dilaporkan tabel tetangga, karena string itu membedakan percobaan yang sedang berlangsung dari kegagalan permanen.}

{Entri yang dipelajari dapat menyembunyikan ketergantungan}

{Entri yang di-cache tetap berfungsi untuk sementara setelah hal yang membuatnya hilang, sehingga pengujian yang dilakukan beberapa menit setelah perubahan bisa lolos karena alasan yang salah. Tunggu hingga entri kedaluwarsa, atau hapus dengan sengaja, sebelum menyimpulkan bahwa resolusi tidak diperlukan.}

{Kesalahan sebaliknya sama umumnya: entri yang tidak teresolusi dianggap bukti bahwa terowongan rusak. Dalam praktiknya entri itu menunjuk ke segmen lokal, ke alamat duplikat, atau ke aturan keamanan port yang membuang frame pembawa jawaban. Periksa port switch sebelum Anda menyentuh konfigurasi VPN.}

{Baca waktu sebagai bukti. Entri yang teresolusi lalu kedaluwarsa berulang kali menunjukkan tautan yang berkedip atau dua perangkat yang menjawab untuk satu alamat, sedangkan entri yang tidak pernah teresolusi menunjuk ke alamat gateway atau ke penyaringan pada port akses.}

{Putuskan antara resolusi dinamis dan entri tetap}

{Resolusi dinamis adalah default karena suatu alasan: ia mengikuti perangkat keras ketika gateway diganti dan tidak memerlukan koordinasi dengan siapa pun. Entri statis dapat dipertahankan ketika jaringan dikelola secara sengaja dan pemasangan alamat dengan alamat perangkat keras merupakan bagian dari rancangan yang didokumentasikan.}

{Apa pun pilihannya, terapkan pada antarmuka akses yang membawa paket luar. Menonaktifkan resolusi pada antarmuka itu tidak memperkuat terowongan; itu menghilangkan kemampuan klien untuk menjangkau gateway yang membawanya, dan kegagalan tampak seperti VPN mati alih-alih masalah pengalamatan lokal.}

{Ingat juga tumpukan lainnya}

{IPv6 tidak menggunakan resolusi alamat dalam bentuk yang sama; ia menggunakan penemuan tetangga. Pertanyaan berlapis tetap tidak berubah: bagaimana paket luar yang sebenarnya mencapai hop berikutnya lokal, dan apa yang membuktikan bahwa jawabannya mutakhir.}

{Periksa dua fakta yang sama pada tumpukan lain sebelum menyatakan rancangan selesai, karena terowongan yang membawa kedua keluarga memiliki dua jalur luar untuk dipertimbangkan. Catat mana yang Anda verifikasi dan mana yang Anda asumsikan.}