Чи ламає вимкнення ARP ваш VPN? На зовнішньому переході може

{Два пакети йдуть в одному з'єднанні й підкоряються різним правилам. Один — це приватний пакет, який несе тунель і який віртуальний інтерфейс обробляє без жодного заголовка Ethernet. Інший — зашифрований пакет, що залишає машину через канал доступу, і йому все ще потрібен локальний наступний перехід, розв'язаний в апаратну адресу. Саме плутанина між цими двома змушує людей вимикати розв'язання адрес не на тому інтерфейсі, а потім дивуватися, чому тунель не запускається.}

{Один пакет усередині іншого, дві моделі доставки}

{Віртуальний інтерфейс у маршрутизованому режимі приймає пакети IP. У нього немає заголовка Ethernet, немає широкомовного домену й немає адрес для розв'язання всередині, тому внутрішній пакет доставляє сам тунель. Те, що відбувається в мережі доступу, — це окремий рівень доставки.}

inner packet: private address -> tunnel device -> the VPN process
outer packet: endpoint address -> access route -> next-hop hardware address

{Цей зовнішній пакет під час виходу з інтерфейсу Ethernet є звичайним кадром одноадресної передачі, і йому потрібна апаратна адреса призначення його наступного переходу. Розв'язання адрес її надає, і наступним переходом зазвичай є локальний шлюз, а не віддалений сервер. Розуміння того, що пошук стосується шлюзу, а не кінцевої точки, — це більша частина діагностики. Запишіть обидві адреси, перш ніж щось змінювати.}

{Знайдіть сусіда, який справді важливий}

{Запитайте таблицю маршрутизації, який наступний перехід використовує кінцева точка, потім перегляньте таблицю сусідів для цього переходу. Сама кінцева точка з'являється там рідко, бо вона не в локальному каналі.}

ip route get 198.51.100.20
ip neigh show 192.168.0.1

{Якщо запис присутній і доступний, зовнішній шлях гаразд, а несправність в іншому місці. Якщо його немає або він у стані відмови, шукати треба в каналі, в адресі шлюзу або в політиці, що блокує розв'язання. Зміна налаштувань шифрування на тунелі не допоможе в жодному з випадків. Позначте рядок стану, який повідомляє таблиця сусідів, бо він відрізняє поточну спробу від постійної відмови.}

{Вивчений запис може приховувати залежність}

{Кешований запис продовжує працювати деякий час після того, як зникає те, що його створило, тому тест, виконаний через кілька хвилин після зміни, може пройти з неправильної причини. Дочекайтеся, доки запис застаріє, або навмисно видаліть його, перш ніж зробити висновок, що розв'язання не потрібне.}

{Зворотна помилка так само поширена: нерозв'язаний запис вважають доказом того, що тунель зламано. На практиці він указує на локальний сегмент, на дубльовану адресу або на правило безпеки порту, яке відкидає кадри з відповіддю. Перевірте порт комутатора, перш ніж торкатися конфігурації VPN.}

{Читайте час як доказ. Запис, що розв'язується й потім багаторазово завершується, вказує на нестабільний канал або на два пристрої, які відповідають за одну адресу, тоді як запис, що ніколи не розв'язується, указує на адресу шлюзу або на фільтрування на порту доступу.}

{Виберіть між динамічним розв'язанням і фіксованим записом}

{Динамічне розв'язання є типовим недарма: воно йде за обладнанням, коли шлюз замінюють, і не потребує узгодження ні з ким. Статичний запис виправданий, коли мережею керують свідомо й зіставлення адреси з апаратною адресою є частиною задокументованого проєкту.}

{У будь-якому разі застосуйте вибір до інтерфейсу доступу, який несе зовнішній пакет. Вимкнення розв'язання на цьому інтерфейсі не зміцнює тунель; воно позбавляє клієнта можливості дістатися шлюзу, який його несе, і несправність виглядає як мертвий VPN, а не як локальна проблема адресації.}

{Майте на увазі й інший стек}

{IPv6 не використовує розв'язання адрес у такій самій формі; він використовує виявлення сусідів. Питання про рівні залишається незмінним: як реальний зовнішній пакет досягає локального наступного переходу і що доводить, що відповідь актуальна.}

{Перевірте ті самі два факти й на іншому стеку, перш ніж оголосити проєкт завершеним, бо тунель, що несе обидві родини, має два зовнішні шляхи, які треба врахувати. Запишіть, який ви перевірили, а який припустили.}