Sinisira ba ng pag-disable ng ARP ang VPN mo? Posible, sa panlabas na hop

{Dalawang packet ang naglalakbay sa iisang koneksyon at sumusunod sila sa magkaibang tuntunin. Ang isa ay ang pribadong packet na dinadala ng tunnel, na pinoprocess ng virtual interface na walang anumang Ethernet header. Ang isa pa ay ang naka-encrypt na packet na lumalabas sa makina sa access link, at kailangan pa rin nito ng lokal na susunod na hop na naresolba sa hardware address. Ang paghahalo sa dalawang ito ang dahilan kung bakit dinidisable ng mga tao ang address resolution sa maling interface at pagkatapos ay nagtataka kung bakit hindi kailanman nagsisimula ang tunnel.}

{Isang packet sa loob ng isa, dalawang modelo ng paghahatid}

{Tinatanggap ng virtual interface sa routed mode ang mga IP packet. Wala itong Ethernet header, walang broadcast domain at walang address na maresolba sa loob nito, kaya ang panloob na packet ay hinahatid ng tunnel mismo. Ang nangyayari sa access network ay hiwalay na layer ng paghahatid.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Ang panlabas na packet na iyon ay ordinaryong unicast frame kapag lumalabas sa Ethernet interface, at kailangan nito ang destinasyong hardware address ng susunod na hop nito. Ibinibigay ito ng address resolution, at ang susunod na hop ay karaniwang lokal na gateway at hindi ang remote server. Ang pag-unawa na para sa gateway ang paghahanap at hindi para sa endpoint ay ang malaking bahagi ng diagnosis. Isulat ang dalawang address bago ka magbago ng kahit ano.}

{Hanapin ang kapitbahay na talagang mahalaga}

{Itanong sa routing table kung aling susunod na hop ang ginagamit ng endpoint, pagkatapos ay siyasatin ang neighbor table para sa hop na iyon. Bihirang lumitaw doon ang endpoint mismo, dahil wala ito sa lokal na link.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Kung ang entry ay naroroon at maabot, maayos ang panlabas na landas at nasa ibang lugar ang sira. Kung wala ito o nasa estado ng pagkabigo, ang link, ang gateway address o isang patakarang humaharang sa resolution ang dapat tingnan. Ang pagbabago ng cipher settings sa tunnel ay hindi makakatulong sa alinman sa dalawang kaso. Itala ang state string na iniuulat ng neighbor table, dahil ipinag-iiba nito ang patuloy na pagtatangka sa permanenteng pagkabigo.}

{Ang natutunang entry ay maaaring magtago ng dependency}

{Ang naka-cache na entry ay patuloy na gumagana nang ilang sandali pagkatapos mawala ang gumawa nito, kaya ang test na ginawa ilang minuto pagkatapos ng pagbabago ay maaaring pumasa sa maling dahilan. Hintayin na mag-expire ang entry, o sadyang tanggalin ito, bago magpasyang hindi kailangan ang resolution.}

{Ang kabaligtarang pagkakamali ay kasingkaraniwan din: ang hindi naresolbang entry ay itinuturing na patunay na sira ang tunnel. Sa praktika tinutukoy nito ang lokal na segment, isang duplicate na address, o isang port security rule na nagtatapon ng mga frame na nagdadala ng sagot. Suriin ang switch port bago hawakan ang VPN configuration.}

{Basahin ang timing bilang ebidensya. Ang entry na naresolba at pagkatapos ay paulit-ulit na nag-expire ay nagmumungkahi ng umaalog na link o dalawang device na sumasagot para sa isang address, habang ang entry na hindi kailanman naresolba ay tumutukoy sa gateway address o sa pag-filter sa access port.}

{Magpasya sa pagitan ng dynamic na resolution at fixed na entry}

{Ang dynamic na resolution ay default sa isang dahilan: sinusundan nito ang hardware kapag pinalitan ang gateway at hindi nangangailangan ng koordinasyon kaninuman. Ang static na entry ay mapagtatanggol kapag ang network ay sadyang pinamamahalaan at ang pagpapares ng address at hardware address ay bahagi ng dokumentadong disenyo.}

{Anuman ang piliin, ilapat ang pagpili sa access interface na nagdadala ng panlabas na packet. Ang pag-disable ng resolution sa interface na iyon ay hindi nagpapalakas ng tunnel; inaalis nito ang kakayahan ng client na maabot ang gateway na nagdadala nito, at ang pagkabigo ay mukhang patay na VPN at hindi lokal na problema sa addressing.}

{Isaisip din ang kabilang stack}

{Hindi ginagamit ng IPv6 ang address resolution sa parehong anyo; ginagamit nito ang neighbor discovery. Nananatiling hindi nagbabago ang tanong sa mga layer: paano naaabot ng tunay na panlabas na packet ang lokal na susunod na hop, at ano ang nagpapatunay na ang sagot ay napapanahon.}

{Suriin ang parehong dalawang katotohanan sa kabilang stack bago ideklarang kumpleto ang disenyo, dahil ang tunnel na nagdadala ng parehong pamilya ay may dalawang panlabas na landas na dapat isaalang-alang. Itala kung alin ang na-verify mo at alin ang ipinalagay mo.}