169.254 caur VPN: adresei nekad nav bijis maršruts
Link-local galamērķis tiek izmests pirms tuneļa sasniegšanas, tāpēc papildu maršruti tikai paplašina kļūmi. Izvēlieties starp apakštīkla labošanu un tiltu.
Jūs pievienojat maršrutu, tunelis paceļas, un tomēr ping uz otru pusi mirst ar pilnīgu zudumu, nevis «network unreachable». Šī atšķirība ir svarīga, jo tā novērš uzmanību no maršrutēšanas tabulas uz pašu adresi. 169.254 galamērķis ir link-local, un tā tvērums pēc konstrukcijas beidzas pirmajā hopā, nevis nepareizas konfigurācijas dēļ.
Nākamais lēmums ir šaurs un to ir vērts pieņemt skaidri: salabot apakštīklu servera pusē vai paplašināt 2. slāņa segmentu, lai adrese atkal iegūtu lokālu jēgu. Viss pārējais, tostarp plašāks maršruts, tikai izplata to pašu kļūmi uz vairāk galamērķiem.
Adresei nav maršruta, tā nav maršrutējama
IPv4 link-local adreses pašas sev piešķiras, kad nekas labāks neatbild; no šejienes nāk automātiskā privātā adresācija Windows un atbilstošā rezerves iespēja citās sistēmās. Diapazons tiek lietots katrā saitē vienlaikus, un tieši tāpēc tas darbojas: divi viena segmenta resursdatori var runāt bez jebkādas koordinācijas.
Tās pašas īpašības dēļ maršrutētājs nedrīkst pārsūtīt šos paketes starp tīkliem. Link-local galamērķim adresētas paketes saņemšana un izsūtīšana pa citu saskarni radītu neskaidrību, jo sūtītāja «lokālais» un saņēmēja «lokālais» ir dažādas vietas. Nav meklēšanas, kas varētu izlemt, kuru no abiem sūtītājs domāja. Pārsūtīšana šeit nav politikas izvēle, ko administrators varētu ieslēgt; adrešu klase to izslēdz.
Tāpēc vārteja, kas 169.254.1.10 ieraksta kā sasniedzamu caur tuneli, lūdz kodolam darīt to, ko adreses formāts aizliedz. Pakete tiek izmesta krietni pirms tā sasniedz tālo resursdatoru, un maršruta precizitāte to nemaina.
Kāpēc tunelis padara tvēruma problēmu redzamu
TUN saskarne pārvieto IP paketes starp diviem partneriem, un tai aiz muguras nav kopīga segmenta. Nav apraides, nav ARP otrai pusei un nav kaimiņu atklāšanas, kas link-local galamērķi pārvērstu saites slāņa adresē.
Simptomi precīzi sakrīt, kad zina, ko meklēt. Maršruts ir tabulā, ping ziņo pilnīgu zudumu, un kaimiņu tabula rāda nepilnīgu vai neizdevušos ierakstu. Ieraksts tunelī rāda paketi izejam, un tas liek cilvēkiem skatīties uz tālo galu, nevis adrešu klasi.
Windows ir otrs, šķietami nesaistīts simptoms ar to pašu sakni: adapterim, kuram palikusi tikai link-local adrese, nav lietojamas vārtejas, tāpēc tīkla identifikācija nevar klasificēt savienojumu un ugunsmūra profils nonāk publiskajā. Tunelis nav cēlonis; adrese ir.
Izlemiet ar trim jautājumiem
Izvēle starp apakštīkla labošanu un saites tiltu ir atkarīga no trim nosacījumiem, un jebkurš no tiem var to izlemt pirms konfigurācijas faila atvēršanas.
| Question | If yes | If no |
|---|---|---|
| Can the far-side host be given a routable address? | Change the host or fix DHCP and route normally | Continue to the next question |
| Does the device accept a static address at all? | Assign one from the site's real prefix | Bridging is the only remaining option |
| Can you accept broadcast crossing the tunnel? | A bridge is viable for a small segment | Replace the device or accept no remote access |
Lielākā daļa gadījumu apstājas pie pirmā jautājuma. Resursdators ar link-local adresi parasti nozīmē, ka DHCP neatbildēja, ka kabelis vai VLAN ir nepareizs vai kāds adresi ierakstīja ar roku. To salabot ir lētāk nekā jebkurš tuneļa darbs, un tas novērš problēmu katram nākamajam klientam, ne tikai šim.
Pārbaudiet servera pusi, pirms kaut ko pieņemat. Palaidiet ip addr show un ip route resursdatorā un arp -n vai route print -4 klientā, lai redzētu, vai prefikss tiešām pastāv vai to apgalvo tikai vecs ieraksts.
Cik maksā tilts, kad tas ir pareizā atbilde
Fiziska adaptera savienošana tiltā ar TAP adapteri padara tālo klientu par vietējā apraides domēna daļu. Tad darbojas apraide un kaimiņu atklāšana, un link-local adrese atkal iegūst jēgu, jo klients patiešām ir lokāls šajā saitē.
Izmaksas ir reālas, un tās jāpasaka pirms kāds piekrīt. Apraides trafiks šķērso tuneli, klients ir pakļauts vietējam segmentam visiem mērķiem, ne tikai vajadzīgajiem pakalpojumiem, un serverim tagad jāpārsūta kadri, nevis jāmaršrutē paketes. Tas ir saprātīgs maiņas darījums laboratorijas stendam vai ierīcei bez maršrutējama konfigurācijas ceļa, un slikta noklusējuma vērtība attālinātai piekļuvei.
Veidojot tiltu, vajadzīgas abas puses: tilts serverī un maršruts klienta profilā, kas pasaka, kuri galamērķi ir otrā pusē. Tikai tilts liek klientam minēt, un tikai maršruts neizlabo adrešu klasi.