169.254 por VPN: a dirección nunca foi encamiñable
Un destino local de enlace descártase antes de chegar ao túnel, así que engadir rutas só amplía o fallo. Escolla entre reparar a subrede e tender unha ponte.
Engade a ruta, o túnel sobe e, aínda así, o ping ao outro lado morre con perda total en lugar de «network unreachable». A diferenza importa, porque aparta a vista da táboa de rutas e lévaa á propia dirección. Un destino 169.254 é local de enlace, e o seu ámbito remata no primeiro salto por deseño, non por mala configuración.
A decisión que segue é estreita e convén tomala explicitamente: reparar a subrede do lado do servidor ou ampliar o segmento de capa 2 para que a dirección volva ter sentido local. Todo o demais, incluída unha ruta máis ampla, só fai que o mesmo fallo afecte a máis destinos.
A dirección non é sen ruta: é non encamiñable
As direccións IPv4 locais de enlace asígnanse soas cando nada mellor responde; de aí vén o direccionamento privado automático de Windows e o equivalente doutros sistemas. O rango úsase en cada enlace á vez, e por iso funciona: dous equipos do mesmo segmento falan sen coordinación.
Esa mesma propiedade é a razón pola que un encamiñador non debe reenviar estes paquetes entre redes. Recibir un paquete dirixido a un destino local de enlace e sacalo por outra interface crearía ambigüidade, porque o «local» do emisor e o «local» do receptor son sitios distintos. Ningunha consulta pode decidir cal dos dous quixo dicir o emisor. O reenvío non é aquí unha opción de política que un administrador poida activar; a clase de dirección exclúeo.
Así, unha pasarela que instala 169.254.1.10 como alcanzable polo túnel pide ao núcleo algo que o formato da dirección prohibe. O paquete descártase moito antes de chegar ao equipo remoto, e ningunha precisión de ruta cambia ese resultado.
Por que un túnel fai visible o problema de ámbito
Unha interface TUN transporta paquetes IP entre dous pares e non ten ningún segmento compartido detrás. Non hai difusión, nin ARP para o outro lado, nin descuberta de veciños que resolva un destino local de enlace nunha dirección de capa de enlace.
Os síntomas encaixan cando sabes que buscar. A ruta está na táboa, ping informa perda total en lugar de rede inalcanzable e a táboa de veciños mostra unha entrada incompleta ou fallida. Unha captura no túnel mostra o paquete saíndo, o que empuxa a mirar o extremo remoto en vez da clase de dirección.
En Windows hai un segundo síntoma, en aparencia non relacionado, coa mesma raíz: un adaptador que só conserva unha dirección local de enlace non ten pasarela utilizábel, así que a identificación de rede non clasifica a conexión e o perfil da devasa acaba en público. O túnel non é a causa; a dirección si.
Decida con tres preguntas
A escolla entre reparar a subrede e pontar o enlace depende de tres condicións, e calquera delas pode resolvela antes de que abra un ficheiro de configuración.
| Question | If yes | If no |
|---|---|---|
| Can the far-side host be given a routable address? | Change the host or fix DHCP and route normally | Continue to the next question |
| Does the device accept a static address at all? | Assign one from the site's real prefix | Bridging is the only remaining option |
| Can you accept broadcast crossing the tunnel? | A bridge is viable for a small segment | Replace the device or accept no remote access |
A maioría dos casos detéñense na primeira pregunta. Un equipo con dirección local de enlace adoita significar que DHCP non respondeu, que un cable ou unha VLAN están mal, ou que alguén escribiu a dirección á man. Reparalo é máis barato que calquera traballo no túnel e elimina o problema para todos os clientes futuros, non só para este.
Comprobe o lado do servidor antes de supor nada. Execute ip addr show e ip route no equipo, e arp -n ou route print -4 no cliente, para ver se o prefixo existe ou se só unha entrada antiga o afirma.
Que custa unha ponte cando é a resposta correcta
Pontar un adaptador físico cun adaptador TAP fai que o cliente remoto forme parte do dominio de difusión local. Entón a difusión e a descuberta de veciños funcionan, e unha dirección local de enlace volve ter sentido porque o cliente é realmente local nese enlace.
Os custos son reais e hai que dicilos antes de que alguén acepte. O tráfico de difusión cruza o túnel, o cliente queda exposto ao segmento local para todo e non só para os servizos que necesita, e o servidor agora reenvía tramas en lugar de encamiñar paquetes. É un intercambio razoable para un banco de laboratorio ou un dispositivo sen ruta de configuración encamiñable, e un mal valor por defecto para o acceso remoto.
Cando faga a ponte, fan falta as dúas metades: a ponte no servidor e unha ruta no perfil do cliente que diga que destinos están ao outro lado. Unha ponte soa deixa o cliente adiviñando, e unha ruta soa non arranxa unha clase de dirección.