ARP-ны өшіру VPN-іңізді бұза ма? Сыртқы хопта бұзуы мүмкін

{Бір қосылымда екі пакет жүреді және олар түрлі ережелерге бағынады. Біреуі — туннель тасымалдайтын жеке пакет, оны виртуалды интерфейс ешбір Ethernet тақырыбынсыз өңдейді. Екіншісі — машинаны қатынау желісі арқылы тастап кететін шифрланған пакет, және оған әлі де аппараттық мекенжайға шешілетін жергілікті келесі хоп керек. Осы екеуін шатастыру — адамдардың дұрыс емес интерфейсте мекенжай шешімін өшіріп, сосын туннель неге ешқашан іске қосылмайды деп таңдануының себебі.}

{Біреуі екіншісінің ішінде, жеткізудің екі моделі}

{Маршрутталған режимдегі виртуалды интерфейс IP пакеттерін қабылдайды. Оның Ethernet тақырыбы, тарату домені және ішінде шешілетін мекенжайлары жоқ, сондықтан ішкі пакетті туннельдің өзі жеткізеді. Қатынау желісінде болып жатқан нәрсе — жеткізудің бөлек қабаты.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Бұл сыртқы пакет Ethernet интерфейсінен шыққанда қарапайым unicast кадр болады және өзінің келесі хопының межелі аппараттық мекенжайын қажет етеді. Мекенжай шешімі оны береді, ал келесі хоп әдетте қашықтағы сервер емес, жергілікті шлюз болады. Іздеу шеткі нүкте үшін емес, шлюз үшін екенін түсіну — диагностиканың басым бөлігі. Бірдеңені өзгертуден бұрын екі мекенжайды да жазып қойыңыз.}

{Шынымен маңызды көршіні табыңыз}

{Маршруттау кестесінен шеткі нүкте қай келесі хопты пайдаланатынын сұрап, содан кейін сол хоп үшін көршілер кестесін тексеріңіз. Шеткі нүктенің өзі онда сирек көрінеді, өйткені ол жергілікті желіде емес.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Егер жазба бар болса және қолжетімді болса, сыртқы жол дұрыс және ақау басқа жерде. Егер ол жоқ болса немесе істен шыққан күйде болса, сілтеме, шлюз мекенжайы немесе шешімді бөгейтін саясат қаралатын орын. Туннельдегі шифр параметрлерін өзгерту екі жағдайда да көмектесе алмайды. Көршілер кестесі хабарлайтын күй жолын жазып алыңыз, өйткені ол жүріп жатқан әрекетті тұрақты сәтсіздіктен ажыратады.}

{Үйренілген жазба тәуелділікті жасыруы мүмкін}

{Кэштелген жазба оны жасаған нәрсе жойылғаннан кейін де біраз уақыт жұмыс істейді, сондықтан өзгерістен бірнеше минут өткен соң жасалған тест қате себеппен өтуі мүмкін. Шешім қажет емес деп қорытынды жасамас бұрын жазбаның ескіруін күтіңіз немесе оны әдейі жойыңыз.}

{Керісінше қате де соншалықты жиі: шешілмеген жазба туннель бұзылғанының дәлелі ретінде қабылданады. Іс жүзінде ол жергілікті сегментке, қайталанған мекенжайға немесе жауап тасымалдайтын кадрларды тастайтын порт қауіпсіздігі ережесіне нұсқайды. VPN конфигурациясына тиіспес бұрын коммутатор портын тексеріңіз.}

{Уақытты дәлел ретінде оқыңыз. Шешіліп, сосын қайта-қайта мерзімі бітетін жазба тұрақсыз сілтемеге немесе бір мекенжайға жауап беретін екі құрылғыға нұсқайды, ал ешқашан шешілмейтін жазба шлюз мекенжайына немесе қатынау портындағы сүзгілеуге нұсқайды.}

{Динамикалық шешім мен тұрақты жазба арасында таңдаңыз}

{Динамикалық шешім себепті түрде әдепкі болып табылады: шлюз ауыстырылғанда ол аппараттық жасақтаманы ұстанады және ешкіммен үйлестіруді талап етпейді. Статикалық жазба желі әдейі басқарылғанда және мекенжай мен аппараттық мекенжайдың жұптасуы құжатталған жобаның бөлігі болғанда қорғалуы мүмкін.}

{Қалай болғанда да, таңдауды сыртқы пакетті тасымалдайтын қатынау интерфейсіне қолданыңыз. Сол интерфейсте шешімді өшіру туннельді берік етпейді; ол клиенттің оны тасымалдайтын шлюзге жету қабілетін жояды, ал ақау жергілікті мекенжай мәселесі емес, өлі VPN сияқты көрінеді.}

{Екінші стекті де есте сақтаңыз}

{IPv6 мекенжай шешімін сол пішінде пайдаланбайды; ол көршілерді анықтауды пайдаланады. Қабаттық сұрақ өзгеріссіз қалады: нақты сыртқы пакет жергілікті келесі хопқа қалай жетеді және жауаптың өзекті екенін не дәлелдейді.}

{Жобаны аяқталды деп жарияламас бұрын сол екі фактіні екінші стекте де тексеріңіз, өйткені екі отбасын да тасымалдайтын туннельде қарастыруға тиіс екі сыртқы жол бар. Қайсын тексергеніңізді және қайсын болжағаныңызды жазып қойыңыз.}