169.254 oor ’n VPN: die adres was nooit routeerbaar nie
’n Skakel-plaaslike bestemming word laat vaar voordat dit die tonnel bereik, so bykomende roetes maak net die faling wyer. Kies tussen die subnet regmaak en ’n brug bou.
Jy voeg die roete by, die tonnel kom op, en die ping na die ander kant sterf steeds met totale verlies, nie met “network unreachable” nie. Daardie verskil maak saak, want dit wys weg van jou roetetabel en na die adres self. ’n 169.254-bestemming is skakel-plaaslik, en skakel-plaaslike omvang eindig by die eerste hop volgens ontwerp, nie weens ’n fout nie.
Die besluit wat volg is smal en die moeite werd om eksplisiet te maak: herstel die subnet aan die bedienerkant, of brei die Laag 2-segment uit sodat die adres weer plaaslik betekenisvol word. Alles anders, insluitend die byvoeg van ’n wyer roete, maak net dat dieselfde faling op meer bestemmings van toepassing word.
Die adres het nie net geen roete nie, dit is onrouteerbaar
Skakel-plaaslike IPv4-adresse word self toegeken wanneer niks beters antwoord, en dit is die oorsprong van die outomatiese private adressering op Windows en van die ekwivalent op ander stelsels. Die reeks is op elke skakel gelyktydig in gebruik, en dit is presies hoekom dit werk: twee gashere op dieselfde segment kan praat sonder enige koördinasie.
Dieselfde eienskap is hoekom ’n roeteerder hierdie pakkette nie tussen netwerke mag deurstuur nie. Om ’n pakket na ’n skakel-plaaslike bestemming te ontvang en dit op ’n ander koppelvlak uit te stuur, sou dubbelsinnigheid skep, want die sender se “plaaslik” en die ontvanger se “plaaslik” is verskillende plekke. Geen opsoektabel kan beslis watter van die twee die sender bedoel het nie. Deurstuur is nie ’n beleidskeuse wat ’n administrateur hier kan aktiveer nie; die adresklas sluit dit uit.
So ’n gateway wat 169.254.1.10 as bereikbaar deur die tonnel installeer, vra die kern om iets te doen wat die adresformaat verbied. Die pakket word weggegooi lank voordat dit die afgeleë gasheer bereik, en geen mate van roetespesifisiteit verander daardie uitkoms nie.
Hoekom ’n tonnel die omvangprobleem sigbaar maak
’n TUN-koppelvlak dra IP-pakkette tussen twee eweknieë en het geen gedeelde segment agter hom nie. Daar is geen broadcast nie, geen ARP vir die ander kant nie, en geen buurontdekking wat ’n skakel-plaaslike bestemming in ’n skakellaagadres kan oplos nie. Selfs as deurstuur toegelaat sou word, het die kliënt geen manier om te leer watter eweknie moet antwoord nie.
Die simptome pas netjies in plek sodra jy weet waarna om te kyk. Die roete bestaan in die tabel, ping rapporteer totale verlies eerder as ’n onbereikbare netwerk, en die buurtabel wys ’n onvolledige of mislukte inskrywing vir die bestemming. ’n Opname op die tonnel wys die pakket vertrek, wat mense na die ander kant laat kyk eerder as na die adresklas.
Op Windows is daar ’n tweede, onverwante simptoom met dieselfde wortel: ’n adapter wat net ’n skakel-plaaslike adres het, het geen bruikbare gateway nie, so netwerkidentifikasie kan die verbinding nie klassifiseer nie en die firewall-profiel beland op publiek. Die tonnel is nie die oorsaak nie; die adres is.
Besluit met drie vrae
Die keuse tussen die subnet herstel en die skakel oorbrug hang van drie voorwaardes af, en enige een daarvan kan dit beslis voordat jy ’n konfigurasielêer oopmaak.
| Question | If yes | If no |
|---|---|---|
| Can the far-side host be given a routable address? | Change the host or fix DHCP and route normally | Continue to the next question |
| Does the device accept a static address at all? | Assign one from the site's real prefix | Bridging is the only remaining option |
| Can you accept broadcast crossing the tunnel? | A bridge is viable for a small segment | Replace the device or accept no remote access |
Die meeste gevalle stop by die eerste vraag. ’n Gasheer met ’n skakel-plaaslike adres beteken gewoonlik dat DHCP nie geantwoord het nie, dat ’n kabel of VLAN verkeerd is, of dat iemand die adres met die hand getik het. Om dit reg te maak is goedkoper as enige tonnelwerk, en dit verwyder die probleem vir elke toekomstige kliënt eerder as net vir hierdie een. Dit laat ook ’n werkende DHCP-omvang by die site, wat die ding is wat jy eintlik wou hê.
Kontroleer die bedienerkant voordat jy enigiets aanneem. Voer ip addr show en ip route op die gasheer uit, en arp -n of route print -4 op die kliënt, sodat jy kan sien of die voorvoegsel hoegenaamd bestaan, of net ’n verouderde inskrywing dit beweer.
Wat ’n brug kos wanneer dit die regte antwoord is
Om ’n fisiese adapter met ’n TAP-adapter te oorbrug, maak die afgeleë kliënt deel van die plaaslike broadcast-domein. Broadcast en buurontdekking werk dan, en ’n skakel-plaaslike adres word weer betekenisvol omdat die kliënt werklik plaaslik aan daardie skakel is.
Die koste is werklik en moet genoem word voordat iemand instem. Broadcast-verkeer kruis die tonnel, die kliënt word vir elke doel aan die plaaslike segment blootgestel eerder as net aan die dienste wat dit nodig het, en die bediener moet nou raamwerke deurstuur eerder as om pakkette te roeteer. Dit is ’n redelike ruil vir ’n laboratoriumbank of ’n toestel sonder ’n routeerbare konfigurasiepad, en ’n swak verstek vir afgeleë toegang.
Wanneer jy wel oorbrug, is albei helftes nodig: die brug op die bediener, en ’n roete in die kliëntprofiel wat sê watter bestemmings aan die ander kant lê. ’n Brug alleen laat die kliënt raai, en ’n roete alleen kan nie ’n adresklas regmaak nie.