Ломает ли отключение ARP ваш VPN? На внешнем переходе может

{Два пакета идут в одном соединении и подчиняются разным правилам. Один — это приватный пакет, который несёт туннель и который виртуальный интерфейс обрабатывает без какого-либо заголовка Ethernet. Другой — зашифрованный пакет, покидающий машину через канал доступа, и ему всё ещё нужен локальный следующий переход, разрешённый в аппаратный адрес. Именно путаница между этими двумя заставляет людей отключать разрешение адресов не на том интерфейсе, а потом удивляться, почему туннель не запускается.}

{Один пакет внутри другого, две модели доставки}

{Виртуальный интерфейс в маршрутизируемом режиме принимает пакеты IP. У него нет заголовка Ethernet, нет широковещательного домена и нет адресов для разрешения внутри, поэтому внутренний пакет доставляет сам туннель. То, что происходит в сети доступа, — это отдельный уровень доставки.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Этот внешний пакет при выходе из интерфейса Ethernet является обычным кадром одноадресной передачи, и ему нужен аппаратный адрес назначения его следующего перехода. Разрешение адресов его предоставляет, и следующим переходом обычно является локальный шлюз, а не удалённый сервер. Понимание того, что поиск относится к шлюзу, а не к конечной точке, — это большая часть диагностики. Запишите оба адреса, прежде чем что-либо менять.}

{Найдите соседа, который действительно важен}

{Спросите таблицу маршрутизации, какой следующий переход использует конечная точка, затем проверьте таблицу соседей для этого перехода. Сама конечная точка появляется там редко, потому что она не находится в локальном канале.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Если запись присутствует и доступна, внешний путь в порядке, а неисправность в другом месте. Если она отсутствует или находится в состоянии отказа, искать нужно в канале, в адресе шлюза или в политике, блокирующей разрешение. Изменение настроек шифрования на туннеле не поможет ни в одном из случаев. Отметьте строку состояния, которую сообщает таблица соседей, потому что она отличает текущую попытку от постоянного отказа.}

{Выученная запись может скрывать зависимость}

{Кэшированная запись продолжает работать некоторое время после того, как исчезает то, что её создало, поэтому тест, выполненный через несколько минут после изменения, может пройти по неверной причине. Дождитесь устаревания записи или удалите её намеренно, прежде чем заключить, что разрешение не нужно.}

{Обратная ошибка столь же часта: неразрешённую запись принимают за доказательство поломки туннеля. На практике она указывает на локальный сегмент, на дублирующийся адрес или на правило безопасности порта, отбрасывающее кадры с ответом. Проверьте порт коммутатора, прежде чем трогать конфигурацию VPN.}

{Читайте время как доказательство. Запись, которая разрешается и затем многократно истекает, говорит о нестабильном канале или о двух устройствах, отвечающих за один адрес, тогда как запись, которая никогда не разрешается, указывает на адрес шлюза или на фильтрацию на порту доступа.}

{Выберите между динамическим разрешением и фиксированной записью}

{Динамическое разрешение задано по умолчанию не зря: оно следует за оборудованием при замене шлюза и не требует согласования ни с кем. Статическая запись оправдана, когда сеть управляется намеренно и сопоставление адреса с аппаратным адресом является частью документированного проекта.}

{В любом случае применяйте выбор к интерфейсу доступа, который несёт внешний пакет. Отключение разрешения на этом интерфейсе не укрепляет туннель; оно лишает клиента возможности достичь шлюза, который его несёт, и неисправность выглядит как мёртвый VPN, а не как локальная проблема адресации.}

{Имейте в виду и другой стек}

{IPv6 не использует разрешение адресов в такой же форме; он использует обнаружение соседей. Вопрос об уровнях остаётся неизменным: как реальный внешний пакет достигает локального следующего перехода и что доказывает, что ответ актуален.}

{Проверьте те же два факта и на другом стеке, прежде чем объявить проект завершённым, потому что туннель, несущий оба семейства, имеет два внешних пути, которые нужно учесть. Запишите, какой вы проверили, а какой предположили.}