169.254 праз VPN: адрас ніколі не быў маршрутызуемым
Лакальны для канала пункт прызначэння адкідаецца яшчэ да тунэля, таму даданне маршрутаў толькі пашырае збой. Выбірайце паміж рамонтам падсеткі і мастом.
Вы дадаяце маршрут, тунэль уздымаецца, а ping на той бок усё роўна памірае поўнымі стратамі, а не «network unreachable». Гэтая розніца важная: яна адводзіць ад табліцы маршрутызацыі да самога адраса. Пункт 169.254 — лакальны для канала, і ягоны абсяг па задуме сканчаецца на першым хопе, а не праз памылку налады.
Рашэнне, якое вынікае, вузкае і вартае таго, каб яго прыняць явна: адрамантаваць падсетку на баку сервера або пашырыць сегмент узроўню 2, каб адрас зноў набыў лакальны сэнс. Усё астатняе, у тым ліку даданне шырэйшага маршруту, — гэта спосаб распаўсюдзіць той самы збой на большую колькасць пунктаў прызначэння.
Адрас не без маршруту — ён не маршрутызуемы
Адрасы IPv4, лакальныя для канала, прызначаюцца самастойна, калі нішто лепшае не адказвае; адсюль паводзіны аўтаматычнай прыватнай адрасацыі ў Windows і адпаведны рэзервовы варыянт у іншых сістэмах. Дыяпазон выкарыстоўваецца на кожным канале адначасова, і менавіта таму ён працуе: два хасты ў адным сегменце могуць гаварыць без усякай каардынацыі.
Менавіта праз гэтую ўласцівасць маршрутызатар не павінен перасылаць такія пакеты паміж сеткамі. Прыняць пакет, адрасаваны лакальнаму для канала пункту, і адправіць яго праз іншы інтэрфейс — значыць стварыць нявызначанасць, бо «лакальнае» ў адпраўніка і «лакальнае» ў атрымальніка — розныя мясціны. Няма пошуку, які вырашыў бы, якое з двух меў на ўвазе адпраўнік. Перасылка тут не палітычны выбар адміністратара; клас адрасоў гэта выключае.
Таму шлюз, які ўсталёўвае 169.254.1.10 дасяжным праз тунэль, просіць ядро зрабіць тое, што фармат адраса забараняе. Пакет адкідаецца задоўга да таго, як дасягне далёкага хаста, і ніякая дакладнасць маршруту гэтага выніку не змяняе.
Чаму тунэль робіць праблему абсягу бачнай
Інтэрфейс TUN пераносіць IP-пакеты паміж двума аднагодкамі і не мае за сабой агульнага сегмента. Няма ні шырокавяшчальнасці, ні ARP для таго боку, ні выяўлення суседзяў, якое магло б ператварыць лакальны для канала пункт у адрас канальнага ўзроўню. Нават калі б перасылка была дазволена, кліент не мае спосабу даведацца, які аднагодок павінен адказаць.
Сімптомы складаюцца акуратна, калі ведаеш, што шукаць. Маршрут ёсць у табліцы, ping паведамляе поўныя страты замест недасяжнай сеткі, а табліца суседзяў паказвае няпоўны або няўдалы запіс для пункту прызначэння. Захоп на тунэлі паказвае, што пакет выходзіць, і гэта вядзе людзей глядзець на далёкі канец, а не на клас адраса.
У Windows ёсць другі, знешне незвязаны сімптом з тым самым коранем: адаптар, якому пакінулі толькі лакальны для канала адрас, не мае прыдатнага шлюзу, таму ідэнтыфікацыя сеткі не можа класіфікаваць злучэнне і профіль міжсеткавага экрана трапляе ў public. Тунэль не прычына; прычына — адрас.
Вырашайце трыма пытаннямі
Выбар паміж рамонтам падсеткі і маставаннем канала залежыць ад трох умоваў, і любое з іх можа вырашыць справу яшчэ да таго, як вы адкрыеце файл налады.
| Question | If yes | If no |
|---|---|---|
| Can the far-side host be given a routable address? | Change the host or fix DHCP and route normally | Continue to the next question |
| Does the device accept a static address at all? | Assign one from the site's real prefix | Bridging is the only remaining option |
| Can you accept broadcast crossing the tunnel? | A bridge is viable for a small segment | Replace the device or accept no remote access |
Большасць выпадкаў спыняецца на першым пытанні. Хост з лакальным для канала адрасам звычайна азначае, што DHCP не адказаў, кабель або VLAN няправільныя, ці хтосьці ўвёў адрас уручную. Адрамантаваць гэта танней за любую працу з тунэлем, і гэта прыбірае праблему для кожнага будучага кліента, а не толькі для гэтага. Яно таксама пакідае пляцоўцы працоўны дыяпазон DHCP.
Праверце бок сервера, перш чым нешта меркаваць. Запусціце ip addr show і ip route на хаспе, а arp -n або route print -4 на кліенце, каб убачыць, ці прэфікс наогул існуе, ці толькі састарэлы запіс сцвярджае, што ён ёсць.
Колькі каштуе мост, калі ён і ёсць правільны адказ
Маставанне фізічнага адаптара з адаптарам TAP робіць далёкага кліента часткай лакальнага шырокавяшчальнага дамена. Тады шырокавяшчальнасць і выяўленне суседзяў працуюць, і лакальны для канала адрас зноў набывае сэнс, бо кліент сапраўды лакальны для гэтага канала.
Выдаткі рэальныя, і іх трэба назваць, перш чым хтосьці пагадзіцца. Шырокавяшчальны трафік перасякае тунэль, кліент адкрыты лакальнаму сегменту для ўсіх мэтаў, а сервер цяпер павінен перасылаць кадры замест маршрутызацыі пакетаў. Гэта разумны абмен для лабараторнага стэнда або прылады без маршрутызуемага шляху налады, і дрэнныя прадвызначаныя налады для аддаленага доступу.
Калі вы будуеце мост, патрэбныя абедзве паловы: мост на серверы і маршрут у профілі кліента, які кажа, якія пункты прызначэння знаходзяцца на тым баку. Адзін мост пакідае кліента здагадвацца, а адзін маршрут не можа выправіць клас адраса.