169.254 over en VPN: adressen var aldrig rutbar
En link-local-destination kasseres, før den når tunnelen, så flere ruter gør kun fejlen bredere. Vælg mellem at reparere subnettet og at bygge en bro.
Du tilføjer ruten, tunnelen kommer op, og alligevel dør ping til den anden side med totalt tab i stedet for «network unreachable». Forskellen er vigtig, fordi den peger væk fra rutetabellen og hen på adressen selv. En 169.254-destination er link-local, og link-local-rækkevidden slutter ved første hop af design, ikke på grund af fejlkonfiguration.
Beslutningen, der følger, er snæver og værd at træffe eksplicit: reparér subnettet på serversiden, eller udvid lag 2-segmentet, så adressen igen giver lokal mening. Alt andet, også en bredere rute, gør blot den samme fejl gældende for flere destinationer.
Adressen er ikke uden rute, den er urutbar
IPv4-link-local-adresser tildeler sig selv, når intet bedre svarer; det er baggrunden for den automatiske private adressering i Windows og den tilsvarende nødløsning på andre systemer. Området bruges på hvert link samtidig, og det er netop derfor, det virker: to værter i samme segment kan tale sammen uden koordinering.
Samme egenskab er grunden til, at en router ikke må videresende disse pakker mellem netværk. At modtage en pakke til en link-local-destination og sende den ud ad en anden grænseflade ville skabe tvetydighed, fordi afsenderens «lokale» og modtagerens «lokale» er forskellige steder. Der findes ingen opslag, der kan afgøre, hvilken af dem afsenderen mente. Videresendelse er ikke et politikvalg, en administrator kan slå til her; adresseklassen udelukker det.
Så en gateway, der installerer 169.254.1.10 som nåbar gennem tunnelen, beder kernen om noget, adresseformatet forbyder. Pakken kasseres længe før den når den fjerneste vært, og ingen rutepræcision ændrer det resultat.
Hvorfor en tunnel gør rækkevidde-problemet synligt
En TUN-grænseflade bærer IP-pakker mellem to parter og har intet delt segment bag sig. Der er ingen broadcast, ingen ARP til den anden side og ingen nabo-opdagelse, der kan opløse en link-local-destination til en linklagsadresse.
Symptomerne passer perfekt, når man ved, hvad man skal se efter. Ruten findes i tabellen, ping rapporterer totalt tab i stedet for et uopnåeligt netværk, og nabotabellen viser en ufuldstændig eller mislykket post. En optagelse på tunnelen viser pakken forlade systemet, hvilket sender folk til den fjerneste ende i stedet for til adresseklassen.
I Windows er der et andet, tilsyneladende urelateret symptom med samme rod: en adapter, der kun har en link-local-adresse, har ingen brugbar gateway, så netværksidentifikation kan ikke klassificere forbindelsen, og firewallprofilen ender på offentlig. Tunnelen er ikke årsagen; adressen er.
Afgør med tre spørgsmål
Valget mellem at reparere subnettet og at bro linket afhænger af tre betingelser, og enhver af dem kan afgøre det, før du åbner en konfigurationsfil.
| Question | If yes | If no |
|---|---|---|
| Can the far-side host be given a routable address? | Change the host or fix DHCP and route normally | Continue to the next question |
| Does the device accept a static address at all? | Assign one from the site's real prefix | Bridging is the only remaining option |
| Can you accept broadcast crossing the tunnel? | A bridge is viable for a small segment | Replace the device or accept no remote access |
De fleste sager stopper ved første spørgsmål. En vært med en link-local-adresse betyder normalt, at DHCP ikke svarede, at et kabel eller VLAN er forkert, eller at nogen har skrevet adressen i hånden. At reparere det er billigere end alt tunnelarbejde og fjerner problemet for enhver fremtidig klient, ikke bare denne.
Kontrollér serversiden, før du antager noget. Kør ip addr show og ip route på værten og arp -n eller route print -4 på klienten, så du kan se, om præfikset findes, eller kun en gammel post hævder det.
Hvad en bro koster, når den er det rigtige svar
At bro en fysisk adapter med en TAP-adapter gør den fjerneste klient til en del af det lokale broadcast-domæne. Så virker broadcast og nabo-opdagelse, og en link-local-adresse giver igen mening, fordi klienten faktisk er lokal på det link.
Omkostningerne er reelle og skal nævnes, før nogen accepterer. Broadcast-trafik krydser tunnelen, klienten er udsat for det lokale segment til alle formål og ikke kun de tjenester, den har brug for, og serveren skal nu videresende rammer i stedet for at route pakker. Det er en rimelig bytte for en laboratoriebænk eller en enhed uden rutbar konfigurationsvej og en dårlig standard for fjernadgang.
Når du bro, skal begge halvdele med: broen på serveren og en rute i klientprofilen, der fortæller, hvilke destinationer der ligger på den anden side. En bro alene lader klienten gætte, og en rute alene kan ikke rette en adresseklasse.