169.254 VPN:n yli: osoite ei ollut koskaan reititettävissä
Link-local-kohde hylätään ennen kuin se saavuttaa tunnelin, joten reittien lisääminen vain laajentaa vikaa. Valitse aliverkon korjaamisen ja sillan välillä.
Lisäät reitin, tunneli nousee, ja silti ping toiselle puolelle kuolee täydelliseen häviöön eikä «network unreachable» -virheeseen. Ero on tärkeä, koska se siirtää katseen reititystaulusta itse osoitteeseen. Kohde 169.254 on link-local, ja sen ulottuvuus päättyy suunnittelun mukaan ensimmäiseen hyppyyn, ei väärään määritykseen.
Seuraava päätös on kapea ja kannattaa tehdä eksplisiittisesti: korjaa palvelinpuolen aliverkko tai laajenna kerroksen 2 segmenttiä, jotta osoite saa jälleen paikallisen merkityksen. Kaikki muu, myös leveämpi reitti, vain levittää saman vian useampiin kohteisiin.
Osoite ei ole reititön, se on reitittämätön
IPv4-link-local-osoitteet varaavat itsensä, kun mikään parempi ei vastaa; siitä tulee Windowsin automaattinen yksityinen osoitteistus ja vastaava varakeino muissa järjestelmissä. Aluetta käytetään jokaisessa linkissä samanaikaisesti, ja juuri siksi se toimii: kaksi saman segmentin isäntää voi puhua ilman mitään koordinaatiota.
Samasta ominaisuudesta johtuu, ettei reititin saa välittää näitä paketteja verkkojen välillä. Link-local-kohteelle osoitetun paketin vastaanottaminen ja lähettäminen toiseen rajapintaan loisi epäselvyyttä, koska lähettäjän «paikallinen» ja vastaanottajan «paikallinen» ovat eri paikkoja. Mikään haku ei ratkaise, kumpaa lähettäjä tarkoitti. Välitys ei ole täällä käytäntövalinta, jonka ylläpitäjä voisi kytkeä päälle; osoiteluokka sulkee sen pois.
Yhdyskäytävä, joka asentaa 169.254.1.10-osoitteen tunnelin kautta tavoitettavaksi, pyytää siis ytimeltä jotain, minkä osoitemuoto kieltää. Paketti hylätään kauan ennen kuin se saavuttaa etäisen isännän, eikä reitin tarkkuus muuta tulosta.
Miksi tunneli tekee ulottuvuusongelman näkyväksi
TUN-rajapinta kuljettaa IP-paketteja kahden vastapuolen välillä eikä sen takana ole jaettua segmenttiä. Ei ole lähetystä, ei ARP:ia toiselle puolelle eikä naapureiden löytämistä, joka ratkaisisi link-local-kohteen linkkikerroksen osoitteeksi.
Oireet sopivat yhteen, kun tietää mitä etsiä. Reitti on taulussa, ping ilmoittaa täydellisen häviön saavuttamattoman verkon sijaan ja naapuritaulu näyttää puutteellisen tai epäonnistuneen merkinnän. Tunnelin kaappaus näyttää paketin lähtevän, mikä ohjaa katseen etäiseen päähän osoiteluokan sijaan.
Windowsissa on toinen, näennäisesti liittymätön oire samasta juuresta: sovitin, jolle jäi vain link-local-osoite, ei saa käyttökelpoista yhdyskäytävää, joten verkon tunnistus ei voi luokitella yhteyttä ja palomuurin profiili päätyy julkiseksi. Tunneli ei ole syy; osoite on.
Ratkaise kolmella kysymyksellä
Valinta aliverkon korjaamisen ja linkin siltaamisen välillä riippuu kolmesta ehdosta, ja mikä tahansa niistä voi ratkaista sen ennen kuin avaat asetustiedoston.
| Question | If yes | If no |
|---|---|---|
| Can the far-side host be given a routable address? | Change the host or fix DHCP and route normally | Continue to the next question |
| Does the device accept a static address at all? | Assign one from the site's real prefix | Bridging is the only remaining option |
| Can you accept broadcast crossing the tunnel? | A bridge is viable for a small segment | Replace the device or accept no remote access |
Useimmat tapaukset pysähtyvät ensimmäiseen kysymykseen. Isäntä, jolla on link-local-osoite, tarkoittaa yleensä sitä, ettei DHCP vastannut, että kaapeli tai VLAN on väärä tai että joku kirjoitti osoitteen käsin. Sen korjaaminen on halvempaa kuin mikään tunnelityö ja poistaa ongelman jokaiselta tulevalta asiakkaalta, ei vain tältä.
Tarkista palvelinpuoli ennen kuin oletat mitään. Aja ip addr show ja ip route isännällä sekä arp -n tai route print -4 asiakkaalla, jotta näet, onko etuliite olemassa vai väittääkö sitä vain vanha merkintä.
Mitä silta maksaa, kun se on oikea vastaus
Fyysisen sovittimen siltaaminen TAP-sovittimen kanssa tekee etäasiakkaasta osan paikallista lähetysaluetta. Silloin lähetys ja naapureiden löytäminen toimivat, ja link-local-osoite saa taas merkityksen, koska asiakas on todella paikallinen siinä linkissä.
Kustannukset ovat todellisia ja ne pitää kertoa ennen kuin kukaan hyväksyy. Lähetysliikenne ylittää tunnelin, asiakas altistuu paikalliselle segmentille kaikkeen tarkoitukseen eikä vain tarvitsemiinsa palveluihin, ja palvelimen on nyt välitettävä kehyksiä reitittämisen sijaan. Se on kohtuullinen vaihtokauppa laboratoriopenkille tai laitteelle, jolla ei ole reititettävää määrityspolkua, ja huono oletus etäkäytölle.
Kun siltaat, tarvitaan molemmat puolet: silta palvelimelle ja reitti asiakasprofiiliin, joka kertoo, mitkä kohteet ovat toisella puolella. Pelkkä silta jättää asiakkaan arvailemaan, eikä pelkkä reitti korjaa osoiteluokkaa.