Ali izklop ARP pokvari vaš VPN? Na zunanjem skoku ga lahko

{Dva paketa potujeta po isti povezavi in se ravnata po različnih pravilih. Eden je zasebni paket, ki ga prenaša tunel in ki ga virtualni vmesnik obdela brez kakršne koli glave Ethernet. Drugi je šifrirani paket, ki zapusti stroj po dostopni povezavi, in ta še vedno potrebuje lokalni naslednji skok, razrešen v naslov strojne opreme. Zamenjevanje teh dveh je razlog, da ljudje izklopijo razreševanje naslovov na napačnem vmesniku in se nato sprašujejo, zakaj tunel nikoli ne zažene.}

{En paket znotraj drugega, dva modela dostave}

{Virtualni vmesnik v usmerjenem načinu sprejema pakete IP. Nima glave Ethernet, nima območja razširjanja in nima naslovov za razreševanje v sebi, zato notranji paket dostavi sam tunel. Kar se dogaja v dostopnem omrežju, je ločena plast dostave.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Ta zunanji paket je običajen enooddajni okvir, ko zapusti vmesnik Ethernet, in potrebuje ciljni naslov strojne opreme svojega naslednjega skoka. Razreševanje naslovov ga zagotovi, naslednji skok pa je običajno lokalna prehodna postaja in ne oddaljeni strežnik. Razumevanje, da iskanje velja za prehodno postajo in ne za končno točko, je večina diagnoze. Zapišite oba naslova, preden karkoli spremenite.}

{Poiščite soseda, ki je res pomemben}

{Vprašajte usmerjevalno tabelo, kateri naslednji skok uporablja končna točka, nato preglejte tabelo sosedov za ta skok. Sama končna točka se tam redko pojavi, ker ni na lokalni povezavi.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Če je vnos prisoten in dosegljiv, je zunanja pot v redu in napaka je drugje. Če manjka ali je v stanju okvare, velja pogledati povezavo, naslov prehodne postaje ali pravilnik, ki blokira razreševanje. Spreminjanje nastavitev šifriranja na tunelu ne more pomagati v nobenem od obeh primerov. Zabeležite niz stanja, ki ga poroča tabela sosedov, ker loči poskus v teku od trajne okvare.}

{Naučen vnos lahko skrije odvisnost}

{Predpomnjeni vnos deluje še nekaj časa po tem, ko izgine tisto, kar ga je ustvarilo, zato lahko preizkus, izveden nekaj minut po spremembi, uspe iz napačnega razloga. Počakajte, da vnos zastara, ali ga namerno izbrišite, preden sklepate, da razreševanje ni potrebno.}

{Nasprotna napaka je prav tako pogosta: nerazrešen vnos se šteje za dokaz, da je tunel pokvarjen. V praksi kaže na lokalni segment, na podvojen naslov ali na pravilo varnosti vrat, ki zavrže okvire, ki nosijo odgovor. Preverite vrata stikala, preden se dotaknete konfiguracije VPN.}

{Berite čas kot dokaz. Vnos, ki se razreši in nato večkrat poteče, nakazuje nestabilno povezavo ali dve napravi, ki odgovarjata za en naslov, medtem ko vnos, ki se nikoli ne razreši, kaže na naslov prehodne postaje ali na filtriranje na dostopnih vratih.}

{Odločite se med dinamičnim razreševanjem in stalnim vnosom}

{Dinamično razreševanje je privzeto z razlogom: sledi strojni opremi ob zamenjavi prehodne postaje in ne potrebuje usklajevanja z nikomer. Stalni vnos je upravičen, kadar se omrežje upravlja namerno in je seznanjanje naslova z naslovom strojne opreme del dokumentirane zasnove.}

{V vsakem primeru izbiro uporabite na dostopnem vmesniku, ki prenaša zunanji paket. Izklop razreševanja na tem vmesniku tunela ne utrdi; odvzame odjemalcu zmožnost doseči prehodno postajo, ki ga prenaša, in okvara je videti kot mrtev VPN in ne kot lokalna težava z naslavljanjem.}

{Upoštevajte tudi drugi sklad}

{IPv6 ne uporablja razreševanja naslovov v enaki obliki; uporablja odkrivanje sosedov. Vprašanje po plasteh ostaja nespremenjeno: kako resnični zunanji paket doseže lokalni naslednji skok in kaj dokazuje, da je odgovor aktualen.}

{Preverite isti dve dejstvi tudi na drugem skladu, preden razglasite zasnovo za dokončano, ker ima tunel, ki prenaša obe družini, dve zunanji poti, ki ju je treba upoštevati. Zabeležite, katero ste preverili in katero ste predpostavili.}