Disattivare l’ARP rompe la tua VPN? Può farlo, sul salto esterno

{Due pacchetti viaggiano nella stessa connessione e obbediscono a regole diverse. Uno è il pacchetto privato che il tunnel trasporta, che l’interfaccia virtuale gestisce senza alcuna intestazione Ethernet. L’altro è il pacchetto cifrato che lascia la macchina sul collegamento di accesso, e quello ha ancora bisogno di un salto successivo locale risolto in un indirizzo hardware. Confondere i due è il modo in cui la gente disattiva la risoluzione degli indirizzi sull’interfaccia sbagliata e poi si chiede perché il tunnel non parte mai.}

{Un pacchetto dentro l’altro, due modelli di consegna}

{L’interfaccia virtuale in modalità instradata accetta pacchetti IP. Non ha intestazione Ethernet, né dominio di broadcast, né indirizzi da risolvere al suo interno, quindi il pacchetto interno viene consegnato dal tunnel stesso. Quello che accade sulla rete di accesso è uno strato di consegna separato.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Quel pacchetto esterno è un normale frame unicast quando lascia un’interfaccia Ethernet, e ha bisogno dell’indirizzo hardware di destinazione del suo salto successivo. La risoluzione degli indirizzi lo fornisce, e il salto successivo è di solito il gateway locale e non il server remoto. Capire che la ricerca riguarda il gateway e non l’endpoint è la maggior parte della diagnosi. Annota entrambi gli indirizzi prima di cambiare qualcosa.}

{Trova il vicino che conta davvero}

{Chiedi alla tabella di routing quale salto successivo usa l’endpoint, poi esamina la tabella dei vicini per quel salto. L’endpoint stesso compare raramente lì, perché non è sul collegamento locale.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Se la voce è presente e raggiungibile, il percorso esterno va bene e il guasto è altrove. Se manca o è in stato di errore, il collegamento, l’indirizzo del gateway o una politica che blocca la risoluzione sono il punto da guardare. Cambiare le impostazioni del cifrario sul tunnel non può aiutare in nessuno dei due casi. Annota la stringa di stato che la tabella dei vicini riporta, perché distingue un tentativo in corso da un guasto permanente.}

{Una voce appresa può nascondere la dipendenza}

{Una voce in cache continua a funzionare per un po’ dopo che ciò che l’ha creata è sparito, quindi un test eseguito pochi minuti dopo una modifica può passare per il motivo sbagliato. Aspetta che la voce scada, o cancellala di proposito, prima di concludere che la risoluzione non serve.}

{L’errore opposto è altrettanto comune: una voce non risolta viene presa come prova che il tunnel è rotto. In pratica indica il segmento locale, un indirizzo duplicato o una regola di sicurezza della porta che scarta i frame che portano la risposta. Controlla la porta dello switch prima di toccare la configurazione VPN.}

{Leggi i tempi come prova. Una voce che si risolve e poi scade ripetutamente suggerisce un collegamento instabile o due dispositivi che rispondono per un unico indirizzo, mentre una voce che non si risolve mai indica l’indirizzo del gateway o un filtraggio sulla porta di accesso.}

{Scegli tra risoluzione dinamica e voce fissa}

{La risoluzione dinamica è il valore predefinito per una ragione: segue l’hardware quando un gateway viene sostituito e non richiede coordinamento con nessuno. Una voce statica è difendibile quando la rete è gestita deliberatamente e l’accoppiamento di indirizzo e indirizzo hardware fa parte di un progetto documentato.}

{In ogni caso, applica la scelta all’interfaccia di accesso che porta il pacchetto esterno. Disattivare la risoluzione su quell’interfaccia non rende più solido il tunnel; toglie al client la capacità di raggiungere il gateway che lo porta, e il guasto sembra una VPN morta invece di un problema locale di indirizzamento.}

{Tieni presente l’altro stack}

{IPv6 non usa la risoluzione degli indirizzi nella stessa forma; usa la scoperta dei vicini. La domanda a strati resta invariata: come raggiunge il pacchetto esterno reale un salto successivo locale, e che cosa prova che la risposta è aggiornata.}

{Controlla gli stessi due fatti sull’altro stack prima di dichiarare il progetto completo, perché un tunnel che trasporta entrambe le famiglie ha due percorsi esterni da considerare. Annota quale hai verificato e quale hai dato per scontato.}