169.254 tra VPN: la adreso neniam estis enkursigebla
Link-locala celo estas forĵetata antaŭ ol ĝi atingas la tunelon, do aldoni vojojn nur larĝigas la malsukceson. Elektu inter ripari la subreton kaj konstrui ponton.
Vi aldonas la vojon, la tunelo leviĝas, kaj tamen la ping al la alia flanko mortas per kompleta perdo anstataŭ «network unreachable». Tiu diferenco gravas, ĉar ĝi turnas la rigardon de la enkursiga tabelo al la adreso mem. Celo 169.254 estas link-local, kaj ĝia amplekso finiĝas ĉe la unua hop laŭprojekte, ne pro misagordo.
La decido, kiu sekvas, estas mallarĝa kaj indas esti farita eksplicite: ripari la subreton ĉe la servila flanko, aŭ etendi la segmenton de tavolo 2 por ke la adreso denove havu lokan sencon. Ĉio alia, inkluzive aldoni pli larĝan vojon, nur faras la saman malsukceson validan por pli da celoj.
La adreso ne estas senvoja, ĝi estas neenkursigebla
IPv4-link-local-adresoj mem atribuas sin kiam nenio pli bona respondas; de tie venas la aŭtomata privata adresado en Windows kaj la responda rezervo en aliaj sistemoj. La gamo estas uzata sur ĉiu ligilo samtempe, kaj ĝuste tial ĝi funkcias: du gastigantoj en la sama segmento povas paroli sen ia kunordigo.
Pro la sama eco enkursigilo ne rajtas plusendi tiajn pakaĵojn inter retoj. Ricevi pakaĵon adresitan al link-locala celo kaj sendi ĝin tra alia interfaco estigus ambiguecon, ĉar «loka» de la sendinto kaj «loka» de la ricevanto estas malsamaj lokoj. Neniu serĉo povas decidi, kiun el la du la sendinto celis. Plusendo ĉi tie ne estas politika elekto, kiun administranto povus ŝalti; la adresklaso ekskludas ĝin.
Do enkluzo, kiu instalas 169.254.1.10 kiel atingeblan tra la tunelo, petas de la kerno ion, kion la adresa formato malpermesas. La pakaĵo estas forĵetata longe antaŭ ol ĝi atingas la malproksiman gastiganton, kaj neniu voja precizeco ŝanĝas tion.
Kial tunelo vidigas la problemon de amplekso
Interfaco TUN portas IP-pakaĵojn inter du partneroj kaj havas neniun komunan segmenton malantaŭ si. Mankas dissendo, mankas ARP por la alia flanko, kaj mankas najbara malkovro, kiu povus solvi link-localan celon en ligilan adreson.
La simptomoj kongruas precize, kiam oni scias, kion serĉi. La vojo ekzistas en la tabelo, ping raportas kompletan perdon anstataŭ neatingeblan reton, kaj la najbara tabelo montras nekompletan aŭ malsukcesan eron. Kapto sur la tunelo montras la pakaĵon eliri, kio sendas homojn al la malproksima fino anstataŭ al la adresklaso.
En Windows estas dua, ŝajne nesrilata simptomo kun la sama radiko: adaptilo restinta kun nur link-locala adreso havas neniun uzeblan enkluzon, do reta identigo ne povas klasifiki la konekton kaj la fajromura profilo falas al publika. La tunelo ne estas la kaŭzo; la adreso estas.
Decidu per tri demandoj
La elekto inter ripari la subreton kaj ponti la ligilon dependas de tri kondiĉoj, kaj iu ajn el ili povas decidi ĝin antaŭ ol vi malfermas agordan dosieron.
| Question | If yes | If no |
|---|---|---|
| Can the far-side host be given a routable address? | Change the host or fix DHCP and route normally | Continue to the next question |
| Does the device accept a static address at all? | Assign one from the site's real prefix | Bridging is the only remaining option |
| Can you accept broadcast crossing the tunnel? | A bridge is viable for a small segment | Replace the device or accept no remote access |
Plej multaj kazoj haltas ĉe la unua demando. Gastiganto montranta link-localan adreson kutime signifas, ke DHCP ne respondis, ke kablo aŭ VLAN malĝustas, aŭ ke iu tajpis la adreson permane. Ripari tion estas pli malmultekosta ol iu ajn tunela laboro, kaj ĝi forigas la problemon por ĉiu estonta kliento, ne nur por ĉi tiu.
Kontrolu la servilan flankon antaŭ ol supozi ion. Rulu ip addr show kaj ip route sur la gastiganto, kaj arp -n aŭ route print -4 sur la kliento, por vidi ĉu la prefikso ekzistas aŭ ĉu nur malnova ero tion asertas.
Kion ponto kostas, kiam ĝi estas la ĝusta respondo
Ponti fizikan adaptilon kun TAP-adaptilo faras la malproksiman klienton parto de la loka dissenda domajno. Tiam dissendo kaj najbara malkovro funkcias, kaj link-locala adreso denove havas sencon, ĉar la kliento vere estas loka al tiu ligilo.
La kostoj estas realaj kaj endas mencii ilin antaŭ ol iu akceptas. Dissenda trafiko transiras la tunelon, la kliento estas elmetita al la loka segmento por ĉiu celo, ne nur por la servoj, kiujn ĝi bezonas, kaj la servilo nun devas plusendi kadrojn anstataŭ enkursigi pakaĵojn. Tio estas racia interŝanĝo por laboratoria benko aŭ aparato sen enkursigebla agorda vojo, kaj malbona defaŭlto por fora aliro.
Kiam vi pontas, ambaŭ duonoj necesas: la ponto sur la servilo, kaj vojo en la klienta profilo diranta, kiuj celoj kuŝas sur la alia flanko. Ponto sola lasas la klienton diveni, kaj vojo sola ne povas ripari adresklason.