169.254 üle VPN-i: aadress ei olnud kunagi marsruuditav
Link-local sihtkoht visatakse ära enne tunnelini jõudmist, seega marsruutide lisamine ainult laiendab tõrget. Valige alvõrgu parandamise ja silla vahel.
Lisad marsruudi, tunnel tuleb üles ja ometi sureb ping teisele poole täieliku kaoga, mitte «network unreachable» teatega. See vahe loeb, sest juhib pilgu marsruutimistabelilt aadressi enda juurde. Sihtkoht 169.254 on link-local ja selle ulatus lõpeb projekti järgi esimesel hüppel, mitte vale seadistuse tõttu.
Järgnev otsus on kitsas ja tasub teha selgesõnaliselt: paranda serveripoolne alvõrk või laienda 2. kihi segmenti, et aadress saaks jälle kohaliku tähenduse. Kõik muu, ka laiem marsruut, ainult levitab sama tõrget rohkematesse sihtkohtadesse.
Aadress ei ole marsruudita, see on marsruuditamatu
IPv4 link-local aadressid omistavad endale ise, kui miski parem ei vasta; sealt tuleb Windowsi automaatne privaatne adresseerimine ja teiste süsteemide vaste. Vahemikku kasutatakse igal lülil samal ajal ja just seetõttu see töötab: kaks sama segmendi hosti saavad rääkida ilma igasuguse koordineerimiseta.
Sama omaduse tõttu ei tohi ruuter neid pakette võrkude vahel edasi saata. Link-local sihtkohale adresseeritud paketi vastuvõtmine ja teise liidese kaudu väljasaatmine tekitaks mitmetähenduslikkuse, sest saatja «kohalik» ja vastuvõtja «kohalik» on eri kohad. Ükski otsing ei suuda otsustada, kumba saatja mõtles. Edasisaatmine ei ole siin haldaja poolt sisselülitatav poliitikavalik; aadressiklass välistab selle.
Nii palub lüüs, mis seab 169.254.1.10 tunnelist kättesaadavaks, tuumalt midagi, mida aadressi vorming keelab. Pakett visatakse ära kaugele enne kaugesse hosti jõudmist ja marsruudi täpsus ei muuda seda tulemust.
Miks tunnel teeb ulatuse probleemi nähtavaks
TUN-liides kannab IP-pakette kahe partneri vahel ja selle taga ei ole ühist segmenti. Puudub leviedastus, puudub ARP teisele poolele ja puudub naabrite avastamine, mis lahendaks link-local sihtkoha lülisihiaadressiks.
Sümptomid klapivad täpselt, kui tead, mida otsida. Marsruut on tabelis, ping teatab täielikust kaost mitte kättesaamatu võrgu asemel ja naabritabel näitab puudulikku või ebaõnnestunud kirjet. Tunnelil tehtud püünis näitab paketti lahkumas, mis suunab inimesed kaugesse otsa, mitte aadressiklassi juurde.
Windowsis on teine, näiliselt mitteseotud sümptom sama juurega: ainult link-local aadressiga adapteril pole kasutatavat lüüsi, seega võrgu tuvastus ei saa ühendust liigitada ja tulemüüri profiil langeb avalikule. Tunnel ei ole põhjus; aadress on.
Otsusta kolme küsimusega
Valik alvõrgu parandamise ja lüli sillamise vahel sõltub kolmest tingimusest ja ükskõik milline neist võib selle otsustada enne, kui avad seadistusfaili.
| Question | If yes | If no |
|---|---|---|
| Can the far-side host be given a routable address? | Change the host or fix DHCP and route normally | Continue to the next question |
| Does the device accept a static address at all? | Assign one from the site's real prefix | Bridging is the only remaining option |
| Can you accept broadcast crossing the tunnel? | A bridge is viable for a small segment | Replace the device or accept no remote access |
Enamik juhtumeid peatub esimese küsimuse juures. Link-local aadressiga host tähendab tavaliselt, et DHCP ei vastanud, kaabel või VLAN on vale või keegi trükkis aadressi käsitsi. Selle parandamine on odavam kui igasugune tunnelitöö ja kõrvaldab probleemi igalt tulevaselt kliendilt, mitte ainult sellelt.
Kontrolli serveripoolt enne, kui midagi eeldad. Käivita ip addr show ja ip route hostil ning arp -n või route print -4 kliendil, et näha, kas prefiks üldse olemas on või väidab seda ainult vana kirje.
Mida sild maksab, kui see on õige vastus
Füüsilise adapteri sillamine TAP-adapteriga teeb kaugkliendi kohaliku leviedastusdomeeni osaks. Siis töötavad leviedastus ja naabrite avastamine ning link-local aadress saab jälle tähenduse, sest klient on tõesti selle lüli suhtes kohalik.
Kulud on reaalsed ja need tuleb välja öelda, enne kui keegi nõustub. Leviedastusliiklus ületab tunneli, klient on kohalikule segmendile avatud kõigeks, mitte ainult vajalike teenuste jaoks, ja server peab nüüd raame edasi saatma, mitte pakette marsruutima. Laboripingi või marsruuditava seadistustee puudumise korral on see mõistlik vahetus, kaugjuurdepääsu jaoks halb vaikeväärtus.
Kui sillad, on vaja mõlemat poolt: sild serveris ja marsruut kliendi profiilis, mis ütleb, millised sihtkohad on teisel pool. Üksi sild jätab kliendi oletama ja üksi marsruut ei paranda aadressiklassi.