Pokazí vypnutie ARP vaše VPN? Na vonkajšom skoku môže

{V tom istom spojení cestujú dva pakety a riadia sa rôznymi pravidlami. Jeden je súkromný paket, ktorý tunel prenáša a s ktorým virtuálne rozhranie pracuje bez akejkoľvek Ethernetovej hlavičky. Druhý je šifrovaný paket, ktorý opúšťa počítač cez prístupové spojenie, a ten stále potrebuje lokálny ďalší skok preložený na hardvérovú adresu. Zámena týchto dvoch je dôvod, prečo ľudia vypínajú preklad adries na nesprávnom rozhraní a potom sa čudujú, prečo tunel nikdy nezačne fungovať.}

{Jeden paket vnútri druhého, dva modely doručenia}

{Virtuálne rozhranie v routovanom režime prijíma IP pakety. Nemá Ethernetovú hlavičku, žiadnu broadcastovú doménu ani adresy na preklad vnútri, takže vnútorný paket doručí samotný tunel. To, čo sa deje v prístupovej sieti, je samostatná vrstva doručenia.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Tento vonkajší paket je pri opustení Ethernetového rozhrania obyčajný unicastový rámec a potrebuje cieľovú hardvérovú adresu svojho ďalšieho skoku. Preklad adries ju poskytne a ďalším skokom je zvyčajne miestna brána, nie vzdialený server. Pochopenie, že vyhľadávanie platí pre bránu a nie pre koncový bod, je väčšina diagnózy. Zapíšte si obe adresy, skôr než čokoľvek zmeníte.}

{Nájdite suseda, na ktorom skutočne záleží}

{Opýtajte sa smerovacej tabuľky, ktorý ďalší skok koncový bod používa, a potom si prezrite tabuľku susedov pre tento skok. Samotný koncový bod sa tam objavuje zriedka, pretože nie je na miestnom spoji.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Ak je položka prítomná a dostupná, vonkajšia cesta je v poriadku a porucha je inde. Ak chýba alebo je v stave zlyhania, hľadajte spoj, adresu brány alebo pravidlo, ktoré preklad blokuje. Zmena nastavení šifrovania na tuneli nemôže v žiadnom prípade pomôcť. Poznamenajte si stavový reťazec, ktorý tabuľka susedov hlási, pretože rozlišuje prebiehajúci pokus od trvalého zlyhania.}

{Naučená položka môže závislosť skryť}

{Položka v medzipamäti funguje ešte nejaký čas po tom, čo zmizne to, čo ju vytvorilo, takže test vykonaný niekoľko minút po zmene môže prejsť z nesprávneho dôvodu. Počkajte, kým položka vyprší, alebo ju zámerne vymažte, skôr než usúdite, že preklad nie je potrebný.}

{Opačná chyba je rovnako častá: nepreložená položka sa považuje za dôkaz, že tunel je pokazený. V praxi ukazuje na miestny segment, na duplicitnú adresu alebo na pravidlo zabezpečenia portu, ktoré zahadzuje rámce nesúce odpoveď. Skontrolujte port prepínača, skôr než sa dotknete konfigurácie VPN.}

{Čítajte časovanie ako dôkaz. Položka, ktorá sa preloží a potom opakovane vyprší, naznačuje nestabilné spojenie alebo dve zariadenia odpovedajúce za jednu adresu, zatiaľ čo položka, ktorá sa nikdy nepreloží, ukazuje na adresu brány alebo na filtrovanie na prístupovom porte.}

{Rozhodnite sa medzi dynamickým prekladom a pevnou položkou}

{Dynamický preklad je predvolený z dobrého dôvodu: sleduje hardvér pri výmene brány a nepotrebuje koordináciu s nikým. Statická položka je obhájiteľná, keď sa sieť zámerne spravuje a spárovanie adresy s hardvérovou adresou je súčasťou dokumentovaného návrhu.}

{Tak či onak, použite voľbu na prístupovom rozhraní, ktoré nesie vonkajší paket. Vypnutie prekladu na tomto rozhraní tunel nezvýši odolnosť; odoberie klientovi schopnosť dosiahnuť bránu, ktorá ho nesie, a porucha vyzerá ako mŕtve VPN, nie ako miestny problém s adresovaním.}

{Majte na pamäti druhý zásobník}

{IPv6 nepoužíva preklad adries v rovnakej podobe; používa objavovanie susedov. Vrstvová otázka zostáva nezmenená: ako sa skutočný vonkajší paket dostane k miestnemu ďalšiemu skoku a čo dokazuje, že odpoveď je aktuálna.}

{Overte tie isté dva fakty aj na druhom zásobníku, skôr než návrh vyhlásite za hotový, pretože tunel prenášajúci obe rodiny má dve vonkajšie cesty na zváženie. Poznamenajte si, ktorú ste overili a ktorú ste predpokladali.}