Desativar o ARP quebra a sua VPN? Pode, no salto externo

{Dois pacotes viajam na mesma conexão e obedecem a regras diferentes. Um é o pacote privado que o túnel transporta, que a interface virtual trata sem qualquer cabeçalho Ethernet. O outro é o pacote cifrado que sai da máquina pelo link de acesso, e esse ainda precisa de um próximo salto local resolvido para um endereço de hardware. Confundir os dois é a razão pela qual as pessoas desativam a resolução de endereços na interface errada e depois se perguntam por que o túnel nunca arranca.}

{Um pacote dentro do outro, dois modelos de entrega}

{A interface virtual em modo encaminhado aceita pacotes IP. Não tem cabeçalho Ethernet, nem domínio de difusão, nem endereços para resolver no seu interior, por isso o pacote interno é entregue pelo próprio túnel. O que acontece na rede de acesso é uma camada de entrega separada.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Esse pacote externo é uma trama unicast comum quando sai de uma interface Ethernet, e precisa do endereço de hardware de destino do seu próximo salto. A resolução de endereços fornecesse-o, e o próximo salto costuma ser o gateway local e não o servidor remoto. Compreender que a consulta é para o gateway e não para o ponto terminal é a maior parte do diagnóstico. Anote os dois endereços antes de mudar seja o que for.}

{Encontre o vizinho que realmente importa}

{Pergunte à tabela de rotas qual é o próximo salto usado pelo ponto terminal e, depois, inspecione a tabela de vizinhos para esse salto. O próprio ponto terminal raramente aparece ali, porque não está no link local.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Se a entrada existir e for alcançável, o caminho externo está bem e a falha está noutro lugar. Se faltar ou estiver em estado de falha, o link, o endereço do gateway ou uma política que bloqueie a resolução são o sítio a observar. Alterar as definições de cifra no túnel não pode ajudar em nenhum dos casos. Anote a cadeia de estado que a tabela de vizinhos reporta, porque distingue uma tentativa em curso de uma falha permanente.}

{Uma entrada aprendida pode esconder a dependência}

{Uma entrada em cache continua a funcionar durante algum tempo depois de desaparecer o que a criou, pelo que um teste feito minutos depois de uma alteração pode passar pelo motivo errado. Espere que a entrada expire, ou apague-a deliberadamente, antes de concluir que a resolução não é necessária.}

{O erro inverso é igualmente comum: uma entrada não resolvida é tomada como prova de que o túnel está avariado. Na prática aponta para o segmento local, para um endereço duplicado ou para uma regra de segurança de porta que descarta as tramas que transportam a resposta. Verifique a porta do comutador antes de tocar na configuração da VPN.}

{Leia os tempos como evidência. Uma entrada que se resolve e depois expira repetidamente sugere um link instável ou dois dispositivos a responder por um único endereço, enquanto uma entrada que nunca se resolve aponta para o endereço do gateway ou para filtragem na porta de acesso.}

{Decida entre resolução dinâmica e uma entrada fixa}

{A resolução dinâmica é a predefinição por uma razão: segue o hardware quando um gateway é substituído e não precisa de coordenação com ninguém. Uma entrada estática é defensável quando a rede é gerida deliberadamente e o emparelhamento do endereço com o endereço de hardware faz parte de um desenho documentado.}

{De qualquer forma, aplique a escolha à interface de acesso que transporta o pacote externo. Desativar a resolução nessa interface não torna o túnel mais robusto; retira ao cliente a capacidade de alcançar o gateway que o transporta, e a falha parece uma VPN morta em vez de um problema local de endereçamento.}

{Tenha em conta a outra pilha}

{O IPv6 não usa a resolução de endereços da mesma forma; usa a descoberta de vizinhos. A pergunta por camadas mantém-se intacta: como chega o pacote externo real a um próximo salto local, e o que prova que a resposta está atualizada.}

{Verifique os mesmos dois factos na outra pilha antes de declarar o desenho completo, porque um túnel que transporta as duas famílias tem dois caminhos externos a considerar. Registe qual verificou e qual assumiu.}