Breekt het uitschakelen van ARP je VPN? Op de buitenste hop kan dat

{Twee pakketten reizen in dezelfde verbinding en volgen verschillende regels. Het ene is het privépakket dat de tunnel draagt, dat de virtuele interface verwerkt zonder enige Ethernet-header. Het andere is het versleutelde pakket dat de machine via de toegangslink verlaat, en dat heeft nog steeds een lokale volgende hop nodig die naar een hardwareadres wordt opgelost. Die twee door elkaar halen is hoe mensen adresresolutie op de verkeerde interface uitschakelen en zich dan afvragen waarom de tunnel nooit start.}

{Een pakket in een ander, twee leveringsmodellen}

{De virtuele interface in gerouteerde modus accepteert IP-pakketten. Hij heeft geen Ethernet-header, geen broadcast-domein en geen adressen om binnenin op te lossen, dus het binnenste pakket wordt door de tunnel zelf afgeleverd. Wat er op het toegangsnetwerk gebeurt, is een aparte leveringslaag.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Dat buitenste pakket is een gewoon unicast-frame wanneer het een Ethernet-interface verlaat, en het heeft het hardwareadres van de bestemming van zijn volgende hop nodig. Adresresolutie levert dat, en de volgende hop is meestal de lokale gateway en niet de externe server. Begrijpen dat de opzoeking voor de gateway is en niet voor het eindpunt, is het grootste deel van de diagnose. Schrijf beide adressen op voordat je iets verandert.}

{Vind de buur die er echt toe doet}

{Vraag de routetabel welke volgende hop het eindpunt gebruikt en bekijk dan de buurtabel voor die hop. Het eindpunt zelf verschijnt daar zelden, omdat het niet op de lokale link zit.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Als de vermelding aanwezig en bereikbaar is, is het buitenste pad in orde en zit de fout elders. Als hij ontbreekt of in een foutstatus staat, zijn de link, het gateway-adres of een beleid dat resolutie blokkeert de plek om te kijken. Cijferinstellingen op de tunnel wijzigen kan in geen van beide gevallen helpen. Noteer de toestandstring die de buurtabel meldt, want die onderscheidt een poging die loopt van een blijvende fout.}

{Een geleerde vermelding kan de afhankelijkheid verbergen}

{Een gecachte vermelding blijft een tijdje werken nadat wat hem heeft gemaakt weg is, dus een test enkele minuten na een wijziging kan om de verkeerde reden slagen. Wacht tot de vermelding veroudert, of verwijder hem bewust, voordat je concludeert dat resolutie overbodig is.}

{De omgekeerde fout is even gebruikelijk: een onopgeloste vermelding wordt gezien als bewijs dat de tunnel stuk is. In de praktijk wijst die op het lokale segment, op een dubbel adres of op een poortbeveiligingsregel die de frames met het antwoord laat vallen. Controleer de switchpoort voordat je de VPN-configuratie aanraakt.}

{Lees de timing als bewijs. Een vermelding die wordt opgelost en daarna herhaaldelijk verloopt, wijst op een flapperende link of twee apparaten die voor één adres antwoorden, terwijl een vermelding die nooit wordt opgelost op het gateway-adres of op filtering op de toegangspoort wijst.}

{Kies tussen dynamische resolutie en een vaste vermelding}

{Dynamische resolutie is met een reden de standaard: het volgt de hardware wanneer een gateway wordt vervangen en vraagt geen afstemming met wie dan ook. Een statische vermelding is verdedigbaar wanneer het netwerk bewust wordt beheerd en de koppeling van adres en hardwareadres deel is van een gedocumenteerd ontwerp.}

{Hoe dan ook, pas de keuze toe op de toegangsinterface die het buitenste pakket draagt. Resolutie op die interface uitzetten maakt de tunnel niet harder; het haalt bij de client het vermogen weg om de gateway te bereiken die hem draagt, en de fout lijkt op een dode VPN in plaats van een lokaal adresseringsprobleem.}

{Houd de andere stack in gedachten}

{IPv6 gebruikt adresresolutie niet in dezelfde vorm; het gebruikt buurontdekking. De gelaagde vraag blijft ongewijzigd: hoe bereikt het werkelijke buitenste pakket een lokale volgende hop, en wat bewijst dat het antwoord actueel is.}

{Controleer dezelfde twee feiten op de andere stack voordat je het ontwerp voltooid verklaart, want een tunnel die beide families draagt heeft twee buitenste paden om te overwegen. Noteer welke je hebt geverifieerd en welke je hebt aangenomen.}