ARP өчүрүү VPN'иңизди бузабы? Сырткы хопто бузушу мүмкүн

{Бир байланышта эки пакет жүрөт жана алар түрдүү эрежелерге багынат. Бири — туннель ташыган жеке пакет, аны виртуалдык интерфейс эч кандай Ethernet аталышысыз иштетет. Экинчиси — машинаны кирүү звеносу аркылуу таштап кетүүчү шифрленген пакет, жана ага дагы эле аппараттык дарекке чечилүүчү жергиликтүү кийинки хоп керек. Ушул экөөнү аралаштыруу — адамдар туура эмес интерфейсте дарек чечүүнү өчүрүп, анан туннель эмнеге эч качан башталбайт деп таң калышынын себеби.}

{Бири экинчисинин ичинде, жеткирүүнүн эки модели}

{Маршрутталган режимдеги виртуалдык интерфейс IP пакеттерин кабыл алат. Анын Ethernet аталышы, таратуу домени жана ичинде чечилүүчү даректери жок, ошондуктан ички пакетти туннелдин өзү жеткирет. Кирүү тармагында болуп жаткан нерсе — жеткирүүнүн өзүнчө катмары.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Бул тышкы пакет Ethernet интерфейсинен чыкканда кадимки unicast кадр болуп саналат жана өзүнүн кийинки хоптунун барар жеринин аппараттык дарегин талап кылат. Дарек чечүү аны берет, ал эми кийинки хоп адатта алыскы сервер эмес, жергиликтүү шлюз болот. Издөө акыркы чекит үчүн эмес, шлюз үчүн экенин түшүнүү — диагностиканын басымдуу бөлүгү. Бир нерсени өзгөртүүдөн мурун эки даректи тең жазып кой.}

{Чындыгында маанилүү коңшуну тап}

{Маршруттоо таблицасынан акыркы чекит кайсы кийинки хопту колдонорун сура, анан ошол хоп үчүн коңшулар таблицасын текшер. Акыркы чекит өзү ал жерде сейрек көрүнөт, анткени ал жергиликтүү звенодо эмес.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Эгер жазуу бар болсо жана жеткиликтүү болсо, тышкы жол тартипте жана бузулуу башка жерде. Эгер ал жок болсо же иштебей калган абалда болсо, звенону, шлюздун дарегин же чечүүнү тоскон саясатты кароо керек. Туннелдеги шифр жөндөөлөрүн өзгөртүү эки учурда тең жардам бере албайт. Коңшулар таблицасы билдирген абал сабын белгилеп кой, анткени ал жүрүп жаткан аракетти туруктуу ийгиликсиздиктен ажыратат.}

{Үйрөнүлгөн жазуу көз карандылыкты жашыра алат}

{Кэште сакталган жазуу аны жараткан нерсе жок болгондон кийин да бир аз убакыт иштейт, ошондуктан өзгөртүүдөн бир нече мүнөт өткөндөн кийин жасалган сыноо туура эмес себептен өтүшү мүмкүн. Чечүү керек эмес деп жыйынтык чыгарганга чейин жазуунун эскиришин күт же аны атайылап өчүр.}

{Керисинче ката да ошончолук кеңири таралган: чечилбеген жазуу туннелдин бузулганынын далили катары кабыл алынат. Иш жүзүндө ал жергиликтүү сегментке, кайталанган дарекке же жоопту ташыган кадрларды таштаган порт коопсуздук эрежесине көрсөтөт. VPN конфигурациясына тийүүдөн мурун коммутатордун портун текшер.}

{Убакытты далил катары оку. Чечилип, анан кайра-кайра мөөнөтү бүткөн жазуу туруксуз звеного же бир дарек үчүн жооп берген эки түзүлүшкө ишарат кылат, ал эми эч качан чечилбеген жазуу шлюздун дарегине же кирүү портундагы фильтрлөөгө ишарат кылат.}

{Динамикалык чечим менен туруктуу жазуунун ортосунда чечим кабыл ал}

{Динамикалык чечим себебинен улам демейки болуп саналат: шлюз алмаштырылганда ал аппараттык камсыздоону ээрчип, эч ким менен координациялоону талап кылбайт. Статикалык жазуу тармак атайылап башкарылганда жана дарек менен аппараттык даректин жупташуусу документтелген долбоордун бир бөлүгү болгондо корголушу мүмкүн.}

{Кандай болбосун, тандоону тышкы пакетти ташыган кирүү интерфейсине колдон. Ошол интерфейсте чечүүнү өчүрүү туннелди бекемдебейт; ал кардардын аны ташыган шлюзга жетүү мүмкүнчүлүгүн алып салат, жана бузулуу жергиликтүү дарек маселеси эмес, өлүк VPN сыяктуу көрүнөт.}

{Экинчи стекти да эстеп кой}

{IPv6 дарек чечүүнү ошол эле формада колдонбойт; ал коңшуларды табууну колдонот. Катмарлар боюнча суроо өзгөрүүсүз калат: чыныгы тышкы пакет жергиликтүү кийинки хопко кантип жетет жана жооптун учурдагы экенин эмне далилдейт.}

{Долбоорду бүттү деп жарыялоодон мурун ошол эки фактыны экинчи стекте да текшер, анткени эки үй-бүлөнү тең ташыган туннелде кароого тийиш болгон эки тышкы жол бар. Кайсынысын текшергениңди жана кайсынысын божомолдогонуңду жазып кой.}