Дали исклучувањето на ARP ви го расипува VPN-от? Може, на надворешниот хоп

{Два пакети патуваат во истата врска и се покоруваат на различни правила. Едниот е приватниот пакет што го носи тунелот, кој виртуелниот интерфејс го обработува без никакво Ethernet заглавие. Другиот е шифрираниот пакет што ја напушта машината преку пристапната врска, и тој сè уште бара локален следен хоп решен во хардверска адреса. Мешањето на двете е причината зошто луѓето го исклучуваат решавањето на адреси на погрешниот интерфејс и потоа се прашуваат зошто тунелот никогаш не стартува.}

{Еден пакет во друг, два модели на доставување}

{Виртуелниот интерфејс во рутиран режим прифаќа IP пакети. Тој нема Ethernet заглавие, нема домен за емитување и нема адреси за решавање внатре во него, па внатрешниот пакет го доставува самиот тунел. Што и да се случува на пристапната мрежа, тоа е посебен слој на доставување.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Тој надворешен пакет е обична едноадресна рамка кога ја напушта Ethernet-интерфејсот, и му треба хардверската адреса на одредиштето на неговиот следен хоп. Решавањето на адреси ја дава, а следниот хоп обично е локалниот портал, а не оддалечениот сервер. Разбирањето дека пребарувањето е за порталот, а не за крајната точка, е најголемиот дел од дијагнозата. Запишете ги двете адреси пред да промените нешто.}

{Најдете го соседот што навистина е важен}

{Прашајте ја табелата за рутирање кој следен хоп го користи крајната точка, потоа проверете ја табелата на соседи за тој хоп. Самата крајна точка ретко се појавува таму, бидејќи не е на локалната врска.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Ако записот е присутен и достапен, надворешната патека е во ред и дефектот е на друго место. Ако недостасува или е во состојба на грешка, местото за гледање е врската, адресата на порталот или политиката што го блокира решавањето. Менувањето на поставките за шифрирање на тунелот не може да помогне во ниту еден од двата случаи. Забележете ја низата за состојба што ја известува табелата на соседи, бидејќи таа разликува обид во тек од трајна грешка.}

{Научениот запис може да ја скрие зависноста}

{Кешираниот запис продолжува да работи извесно време откако ќе исчезне тоа што го создало, па тест изведен неколку минути по промена може да помине од погрешна причина. Почекајте записот да истече или намерно избришете го, пред да заклучите дека решавањето не е потребно.}

{Обратната грешка е исто толку честа: нерешен запис се смета за доказ дека тунелот е расипан. Во практиката таа укажува на локалниот сегмент, на дуплика адреса или на правило за безбедност на порта што ги отфрла рамките што го носат одговорот. Проверете го портата на прекинувачот пред да ја допрете VPN-конфигурацијата.}

{Читајте го времето како доказ. Запис што се решава и потоа постојано истекува укажува на нестабилна врска или на два уреда што одговараат за една адреса, додека запис што никогаш не се решава укажува на адресата на порталот или на филтрирање на пристапната порта.}

{Одлучете помеѓу динамично решавање и фиксен запис}

{Динамичното решавање е стандардно со причина: го следи хардверот кога порталот се заменува и не бара координација со никого. Статичниот запис е оправдан кога мрежата намерно се управува и спарувањето на адресата со хардверската адреса е дел од документиран дизајн.}

{Во секој случај, примени го изборот на пристапниот интерфејс што го носи надворешниот пакет. Исклучувањето на решавањето на тој интерфејс не го зацврстува тунелот; му ја одзема на клиентот способноста да го достигне порталот што го носи, и дефектот изгледа како мртов VPN, а не како локален проблем со адресирање.}

{Имајте го на ум и другиот стек}

{IPv6 не го користи решавањето на адреси во истата форма; користи откривање на соседи. Прашањето за слоевите останува непроменето: како вистинскиот надворешен пакет стигнува до локален следен хоп и што докажува дека одговорот е актуелен.}

{Проверете ги истите два факти и на другиот стек пред да го прогласите дизајнот за завршен, бидејќи тунел што ги носи двете фамилии има две надворешни патеки за разгледување. Запишете која ја проверивте и која ја претпоставивте.}