Oprirea ARP îți strică VPN-ul? Poate, pe hopul exterior

{Două pachete călătoresc în aceeași conexiune și se supun unor reguli diferite. Unul este pachetul privat pe care tunelul îl transportă, pe care interfața virtuală îl tratează fără niciun antet Ethernet. Celălalt este pachetul criptat care părăsește mașina prin legătura de acces, și acela are în continuare nevoie de un hop următor local rezolvat într-o adresă de hardware. Confundarea celor două este motivul pentru care oamenii dezactivează rezolvarea adreselor pe interfața greșită și apoi se întreabă de ce tunelul nu pornește niciodată.}

{Un pachet în altul, două modele de livrare}

{Interfața virtuală în modul rutat acceptă pachete IP. Nu are antet Ethernet, nici domeniu de difuzare și nici adrese de rezolvat în interiorul ei, așa că pachetul interior este livrat de tunelul însuși. Ce se întâmplă în rețeaua de acces este un strat de livrare separat.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Acel pachet exterior este un cadru unicast obișnuit când părăsește o interfață Ethernet, și are nevoie de adresa de hardware de destinație a hopului său următor. Rezolvarea adreselor o furnizează, iar hopul următor este de obicei gateway-ul local, nu serverul îndepărtat. Înțelegerea faptului că căutarea este pentru gateway, nu pentru punctul final, este cea mai mare parte a diagnosticului. Notează ambele adrese înainte de a schimba ceva.}

{Găsește vecinul care contează cu adevărat}

{Întreabă tabela de rutare ce hop următor folosește punctul final, apoi inspectează tabela de vecini pentru acel hop. Punctul final însuși apare rar acolo, pentru că nu este pe legătura locală.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Dacă intrarea există și este accesibilă, calea exterioară este în regulă și defecțiunea este în altă parte. Dacă lipsește sau este în stare de eșec, legătura, adresa gateway-ului sau o politică ce blochează rezolvarea sunt locul de căutat. Schimbarea setărilor de cifrare pe tunel nu poate ajuta în niciunul dintre cazuri. Notează șirul de stare pe care îl raportează tabela de vecini, pentru că distinge o încercare în curs de un eșec permanent.}

{O intrare învățată poate ascunde dependența}

{O intrare din cache continuă să funcționeze o vreme după ce dispare ceea ce a creat-o, așa că un test făcut la câteva minute după o schimbare poate trece din motivul greșit. Așteaptă ca intrarea să expire sau șterge-o intenționat, înainte de a concluziona că rezolvarea nu este necesară.}

{Greșeala inversă este la fel de frecventă: o intrare nerezolvată este tratată ca dovadă că tunelul este stricat. În practică indică segmentul local, o adresă duplicată sau o regulă de securitate a portului care aruncă cadrele ce poartă răspunsul. Verifică portul comutatorului înainte de a atinge configurația VPN.}

{Citește temporizarea ca dovadă. O intrare care se rezolvă și apoi expiră repetat sugerează o legătură instabilă sau două dispozitive care răspund pentru o singură adresă, în timp ce o intrare care nu se rezolvă niciodată indică adresa gateway-ului sau filtrarea pe portul de acces.}

{Decide între rezolvare dinamică și o intrare fixă}

{Rezolvarea dinamică este implicită dintr-un motiv: urmează hardware-ul când un gateway este înlocuit și nu are nevoie de coordonare cu nimeni. O intrare statică este justificabilă când rețeaua este administrată în mod deliberat și perechea dintre adresă și adresa de hardware face parte dintr-un proiect documentat.}

{În orice caz, aplică alegerea interfeței de acces care transportă pachetul exterior. Dezactivarea rezolvării pe acea interfață nu întărește tunelul; îi ia clientului capacitatea de a ajunge la gateway-ul care îl transportă, iar defecțiunea arată ca un VPN mort și nu ca o problemă locală de adresare.}

{Ai în vedere și celălalt stiv}

{IPv6 nu folosește rezolvarea adreselor în aceeași formă; folosește descoperirea vecinilor. Întrebarea pe straturi rămâne neschimbată: cum ajunge pachetul exterior real la un hop următor local și ce dovedește că răspunsul este actual.}

{Verifică aceleași două fapte și pe celălalt stiv înainte de a declara proiectul complet, pentru că un tunel care transportă ambele familii are două căi exterioare de luat în considerare. Notează pe care ai verificat-o și pe care ai presupus-o.}