Да ли искључивање ARP-а квари ваш VPN? Може, на спољашњем хопу

{Два пакета путују у истој вези и покоравају се различитим правилима. Један је приватни пакет који тунел преноси и који виртуелни интерфејс обрађује без икаквог Ethernet заглавља. Други је шифровани пакет који напушта машину преко приступне везе, и њему и даље треба локални следећи хоп разрешен у хардверску адресу. Мешање њих двоје је разлог зашто људи искључују разрешавање адреса на погрешном интерфејсу и затим се питају зашто тунел никада не стартује.}

{Један пакет унутар другог, два модела доставе}

{Виртуелни интерфејс у рутираном режиму прихвата IP пакете. Он нема Ethernet заглавље, нема broadcast домен и нема адресе за разрешавање у себи, па унутрашњи пакет доставља сам тунел. Оно што се дешава на приступној мрежи је одвојен слој доставе.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Тај спољашњи пакет је обичан unicast оквир када напусти Ethernet интерфејс, и потребна му је хардверска адреса одредишта његовог следећег хопа. Разрешавање адреса је даје, а следећи хоп је обично локални гејтвеј, а не удаљени сервер. Разумевање да претрага важи за гејтвеј, а не за крајњу тачку, је већина дијагнозе. Запишите обе адресе пре него што било шта промените.}

{Пронађите суседа који је заиста важан}

{Питајте табелу рутирања који следећи хоп користи крајња тачка, затим прегледајте табелу суседа за тај хоп. Сама крајња тачка се тамо ретко појављује, јер није на локалној вези.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Ако је унос присутан и достижан, спољашња путања је у реду и квар је негде другде. Ако недостаје или је у стању отказа, место за гледање је веза, адреса гејтвеја или политика која блокира разрешавање. Промена подешавања шифровања на тунелу не може помоћи ни у једном случају. Забележите низ стања који пријављује табела суседа, јер разликује покушај у току од трајног отказа.}

{Научени унос може сакрити зависност}

{Кеширани унос наставља да ради неко време након што нестане оно што га је створило, па тест изведен неколико минута после промене може проћи из погрешног разлога. Сачекајте да унос истекне или га намерно избришите, пре него што закључите да разрешавање није потребно.}

{Обрнута грешка је једнако честа: неразрешени унос се узима као доказ да је тунел покварен. У пракси он указује на локални сегмент, на дуплирану адресу или на правило безбедности порта које одбацује оквире који носе одговор. Проверите порт прекидача пре него што дирате VPN конфигурацију.}

{Читајте време као доказ. Унос који се разреши и затим више пута истекне указује на нестабилну везу или на два уређаја која одговарају за једну адресу, док унос који се никада не разреши указује на адресу гејтвеја или на филтрирање на приступном порту.}

{Одлучите између динамичког разрешавања и фиксног уноса}

{Динамичко разрешавање је подразумевано с разлогом: прати хардвер када се гејтвеј замени и не захтева координацију ни са ким. Статички унос је оправдан када се мрежом намерно управља и када је упаривање адресе са хардверском адресом део документованог дизајна.}

{У сваком случају, примените избор на приступни интерфејс који носи спољашњи пакет. Искључивање разрешавања на том интерфејсу не очвршћује тунел; одузима клијенту могућност да достигне гејтвеј који га носи, а квар изгледа као мртав VPN, а не као локални проблем са адресирањем.}

{Имајте на уму и други стек}

{IPv6 не користи разрешавање адреса у истом облику; користи откривање суседа. Питање слојева остаје непромењено: како стварни спољашњи пакет стиже до локалног следећег хопа и шта доказује да је одговор актуелан.}

{Проверите исте две чињенице и на другом стеку пре него што прогласите дизајн завршеним, јер тунел који носи обе фамилије има две спољашње путање које треба размотрити. Забележите коју сте проверили и коју сте претпоставили.}