Adakah mematikan ARP merosakkan VPN anda? Ia boleh, pada hop luar

{Dua paket bergerak dalam sambungan yang sama dan mematuhi peraturan yang berbeza. Satu ialah paket peribadi yang dibawa oleh terowong, yang dikendalikan oleh antara muka maya tanpa sebarang pengepala Ethernet. Satu lagi ialah paket tersulit yang meninggalkan mesin melalui pautan akses, dan ia masih memerlukan hop seterusnya setempat yang diselesaikan kepada alamat perkakasan. Mengelirukan kedua-duanya ialah cara orang mematikan resolusi alamat pada antara muka yang salah dan kemudian tertanya-tanya mengapa terowong tidak pernah bermula.}

{Satu paket di dalam yang lain, dua model penghantaran}

{Antara muka maya dalam mod dihalakan menerima paket IP. Ia tidak mempunyai pengepala Ethernet, tiada domain siaran dan tiada alamat untuk diselesaikan di dalamnya, jadi paket dalaman dihantar oleh terowong itu sendiri. Apa yang berlaku di rangkaian akses ialah lapisan penghantaran yang berasingan.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Paket luaran itu ialah bingkai unicast biasa apabila ia meninggalkan antara muka Ethernet, dan ia memerlukan alamat perkakasan destinasi hop seterusnya. Resolusi alamat menyediakannya, dan hop seterusnya biasanya gerbang setempat dan bukan pelayan jauh. Memahami bahawa carian itu untuk gerbang, bukan untuk titik akhir, ialah sebahagian besar diagnosis. Catat kedua-dua alamat sebelum anda mengubah apa-apa.}

{Cari jiran yang benar-benar penting}

{Tanya jadual penghalaan hop seterusnya mana yang digunakan oleh titik akhir, kemudian periksa jadual jiran untuk hop itu. Titik akhir itu sendiri jarang muncul di situ, kerana ia tidak berada pada pautan setempat.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Jika entri ada dan boleh dicapai, laluan luaran adalah baik dan kesalahan ada di tempat lain. Jika ia tiada atau dalam keadaan gagal, pautan, alamat gerbang atau dasar yang menyekat resolusi ialah tempat untuk dilihat. Menukar tetapan sifer pada terowong tidak dapat membantu dalam mana-mana kes. Catat rentetan keadaan yang dilaporkan oleh jadual jiran, kerana ia membezakan percubaan yang sedang berjalan daripada kegagalan kekal.}

{Entri yang dipelajari boleh menyembunyikan kebergantungan}

{Entri yang dicache terus berfungsi untuk seketika selepas perkara yang menciptanya hilang, jadi ujian yang dibuat beberapa minit selepas perubahan boleh lulus atas sebab yang salah. Tunggu sehingga entri itu luput, atau padamkannya dengan sengaja, sebelum membuat kesimpulan bahawa resolusi tidak diperlukan.}

{Kesilapan sebaliknya juga sama biasa: entri yang tidak diselesaikan dianggap bukti bahawa terowong rosak. Pada praktiknya ia menunjuk ke segmen setempat, ke alamat pendua atau ke peraturan keselamatan port yang menggugurkan bingkai yang membawa jawapan. Periksa port suis sebelum anda menyentuh konfigurasi VPN.}

{Baca pemasaan sebagai bukti. Entri yang diselesaikan dan kemudian luput berulang kali mencadangkan pautan yang bergegar atau dua peranti yang menjawab untuk satu alamat, manakala entri yang tidak pernah diselesaikan menunjuk ke alamat gerbang atau ke penapisan pada port akses.}

{Putuskan antara resolusi dinamik dan entri tetap}

{Resolusi dinamik ialah lalai atas sebab tertentu: ia mengikuti perkakasan apabila gerbang diganti dan tidak memerlukan penyelarasan dengan sesiapa. Entri statik wajar dipertahankan apabila rangkaian diurus secara sengaja dan pasangan alamat dengan alamat perkakasan ialah sebahagian daripada reka bentuk yang didokumenkan.}

{Apa pun pilihannya, gunakan pada antara muka akses yang membawa paket luaran. Mematikan resolusi pada antara muka itu tidak mengukuhkan terowong; ia menghilangkan keupayaan klien untuk mencapai gerbang yang membawanya, dan kegagalan itu kelihatan seperti VPN mati dan bukan masalah pengalamatan setempat.}

{Ingat juga tindanan yang lain}

{IPv6 tidak menggunakan resolusi alamat dalam bentuk yang sama; ia menggunakan penemuan jiran. Soalan berlapis kekal tidak berubah: bagaimana paket luaran sebenar mencapai hop seterusnya setempat, dan apa yang membuktikan bahawa jawapannya terkini.}

{Periksa dua fakta yang sama pada tindanan lain sebelum mengisytiharkan reka bentuk lengkap, kerana terowong yang membawa kedua-dua keluarga mempunyai dua laluan luaran untuk dipertimbangkan. Catat mana yang anda sahkan dan mana yang anda andaikan.}