การปิด ARP ทำให้ VPN ของคุณพังหรือไม่? อาจพังได้ที่ฮอปด้านนอก
อุโมงค์บรรทุกแพ็กเก็ต IP แต่การเชื่อมต่อที่เข้ารหัสยังต้องค้นหาฮอปถัดไปในเครื่องอยู่ เลือกระหว่างการแก้ไขแบบพลวัตกับรายการที่ดูแลไว้
{แพ็กเก็ตสองชนิดเดินทางในเส้นทางเชื่อมต่อเดียวกันและอยู่ภายใต้กฎที่ต่างกัน ชนิดหนึ่งคือแพ็กเก็ตส่วนตัวที่อุโมงค์บรรทุก ซึ่งอินเทอร์เฟซเสมือนจัดการโดยไม่มีส่วนหัวอีเทอร์เน็ตใด ๆ อีกชนิดคือแพ็กเก็ตที่เข้ารหัสซึ่งออกจากเครื่องผ่านลิงก์เชื่อมต่อ และยังต้องมีฮอปถัดไปในเครื่องที่แก้ไขเป็นที่อยู่ฮาร์ดแวร์ การสับสนระหว่างสองสิ่งนี้คือเหตุผลที่ผู้คนปิดการแก้ไขที่อยู่บนอินเทอร์เฟซผิดตัว แล้วสงสัยว่าทำไมอุโมงค์จึงไม่เริ่มทำงานเลย}
{แพ็กเก็ตซ้อนในแพ็กเก็ต สองแบบจำลองการส่ง}
{อินเทอร์เฟซเสมือนในโหมดกำหนดเส้นทางรับแพ็กเก็ต IP มันไม่มีส่วนหัวอีเทอร์เน็ต ไม่มีโดเมนกระจายเสียง และไม่มีที่อยู่ให้แก้ไขภายใน ดังนั้นแพ็กเก็ตชั้นในจึงถูกส่งโดยอุโมงค์เอง สิ่งที่เกิดขึ้นบนเครือข่ายเชื่อมต่อเป็นชั้นการส่งที่แยกต่างหาก}
inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address{แพ็กเก็ตชั้นนอกนั้นเป็นเฟรมยูนิแคสต์ธรรมดาเมื่อออกจากอินเทอร์เฟซอีเทอร์เน็ต และต้องใช้ที่อยู่ฮาร์ดแวร์ปลายทางของฮอปถัดไป การแก้ไขที่อยู่จัดหาให้ และฮอปถัดไปมักเป็นเกตเวย์ในเครื่อง ไม่ใช่เซิร์ฟเวอร์ระยะไกล การเข้าใจว่าการค้นหามีไว้สำหรับเกตเวย์ ไม่ใช่จุดปลายทาง คือส่วนใหญ่ของการวินิจฉัย จดที่อยู่ทั้งสองไว้ก่อนเปลี่ยนแปลงสิ่งใด}
{ค้นหาเพื่อนบ้านที่สำคัญจริง ๆ}
{ถามตารางเส้นทางว่าจุดปลายทางใช้ฮอปถัดไปใด แล้วตรวจสอบตารางเพื่อนบ้านสำหรับฮอปนั้น จุดปลายทางเองแทบไม่ปรากฏที่นั่น เพราะไม่ได้อยู่ในลิงก์ท้องถิ่น}
ip route get 198.51.100.20
ip neigh show 192.168.0.1{หากรายการมีอยู่และเข้าถึงได้ เส้นทางชั้นนอกก็ปกติและความผิดอยู่ที่อื่น หากขาดหายหรืออยู่ในสถานะล้มเหลว ลิงก์ ที่อยู่เกตเวย์ หรือนโยบายที่ปิดกั้นการแก้ไข คือจุดที่ต้องดู การเปลี่ยนการตั้งค่าหมายเลขรหัสบนอุโมงค์ไม่ช่วยในทั้งสองกรณี จดสตริงสถานะที่ตารางเพื่อนบ้านรายงาน เพราะมันแยกความพยายามที่กำลังดำเนินอยู่จากความล้มเหลวถาวร}
{รายการที่เรียนรู้มาอาจซ่อนการพึ่งพา}
{รายการที่แคชไว้ยังทำงานต่อไประยะหนึ่งหลังจากสิ่งที่สร้างมันหายไป การทดสอบที่ทำหลังการเปลี่ยนแปลงไม่กี่นาทีจึงอาจผ่านด้วยเหตุผลที่ผิด รอให้รายการหมดอายุ หรือลบมันทิ้งโดยตั้งใจ ก่อนสรุปว่าการแก้ไขไม่จำเป็น}
{ข้อผิดพลาดตรงกันข้ามก็พบได้บ่อยเท่ากัน: รายการที่ยังไม่แก้ไขถูกใช้เป็นหลักฐานว่าอุโมงค์พัง ในทางปฏิบัติมันชี้ไปที่เซกเมนต์ท้องถิ่น ที่อยู่ซ้ำ หรือกฎความปลอดภัยของพอร์ตที่ทิ้งเฟรมซึ่งบรรทุกคำตอบ ตรวจสอบพอร์ตของสวิตช์ก่อนแตะการกำหนดค่า VPN}
{อ่านเวลาเป็นหลักฐาน รายการที่แก้ไขได้แล้วหมดอายุซ้ำ ๆ บ่งชี้ลิงก์ที่สั่นไหวหรืออุปกรณ์สองเครื่องตอบแทนที่อยู่เดียว ในขณะที่รายการที่ไม่เคยแก้ไขได้ชี้ไปที่ที่อยู่เกตเวย์หรือการกรองบนพอร์ตเชื่อมต่อ}
{ตัดสินใจระหว่างการแก้ไขแบบพลวัตกับรายการคงที่}
{การแก้ไขแบบพลวัตเป็นค่าเริ่มต้นด้วยเหตุผล มันติดตามฮาร์ดแวร์เมื่อเกตเวย์ถูกเปลี่ยน และไม่ต้องประสานงานกับใคร รายการแบบคงที่ป้องกันได้เมื่อเครือข่ายถูกจัดการอย่างตั้งใจและการจับคู่ที่อยู่กับที่อยู่ฮาร์ดแวร์เป็นส่วนหนึ่งของการออกแบบที่มีเอกสาร}
| Approach | Good fit | Cost you accept |
|---|---|---|
| Dynamic resolution | Laptops, changing networks, anything with a spare minute to recover | A short outage while the entry is relearned |
| Permanent entry | Fixed appliances where the pairing is controlled and recorded | A silent failure the day the hardware changes |
{ไม่ว่าจะทางใด ให้ใช้ตัวเลือกกับอินเทอร์เฟซเชื่อมต่อที่บรรทุกแพ็กเก็ตชั้นนอก การปิดการแก้ไขบนอินเทอร์เฟซนั้นไม่ได้ทำให้อุโมงค์แข็งแกร่งขึ้น มันตัดความสามารถของไคลเอนต์ในการเข้าถึงเกตเวย์ที่บรรทุกมัน และความล้มเหลวดูเหมือน VPN ที่ตายแล้ว ไม่ใช่ปัญหาเรื่องที่อยู่ในเครื่อง}
{จำสแตกอีกตัวไว้ด้วย}
{IPv6 ไม่ได้ใช้การแก้ไขที่อยู่ในรูปแบบเดียวกัน มันใช้การค้นพบเพื่อนบ้าน คำถามเชิงชั้นยังคงเดิม แพ็กเก็ตชั้นนอกจริงไปถึงฮอปถัดไปในเครื่องได้อย่างไร และอะไรพิสูจน์ว่าคำตอบเป็นปัจจุบัน}
{ตรวจสอบข้อเท็จจริงสองข้อเดียวกันบนสแตกอีกตัวก่อนประกาศว่าการออกแบบสมบูรณ์ เพราะอุโมงค์ที่บรรทุกทั้งสองตระกูลมีเส้นทางชั้นนอกสองเส้นให้พิจารณา บันทึกว่าคุณตรวจสอบเส้นใดและสันนิษฐานเส้นใด}