169.254 cez VPN: adresa nikdy nebola smerovateľná
Cieľ link-local sa zahodí skôr, než sa dostane do tunela, takže pridanie trás len rozširuje zlyhanie. Vyberte medzi opravou podsiete a mostom.
Pridáte trasu, tunel nabehne, a ping na druhú stranu napriek tomu zomrie s úplnou stratou namiesto «network unreachable». Ten rozdiel je dôležitý, lebo odvádza pohľad od smerovacej tabuľky k samotnej adrese. Cieľ 169.254 je link-local a jeho rozsah sa podľa návrhu končí na prvom hope, nie pre zlú konfiguráciu.
Rozhodnutie, ktoré z toho vyplýva, je úzke a stojí za to ho urobiť výslovne: opraviť podsieť na strane servera alebo rozšíriť segment vrstvy 2, aby adresa znova dávala lokálny zmysel. Všetko ostatné, vrátane širšej trasy, len rozširuje to isté zlyhanie na viac cieľov.
Adresa nie je bez trasy, je nesmerovateľná
Adresy IPv4 link-local si uzly prideľujú samy, keď nič lepšie neodpovedá; odtiaľ pochádza automatické privátne adresovanie vo Windows a zodpovedajúca záloha v iných systémoch. Rozsah sa používa na každom spoji súčasne, a práve preto funguje: dva hosty v tom istom segmente sa rozprávajú bez akejkoľvek koordinácie.
Kvôli tej istej vlastnosti nesmie smerovač tieto pakety preposielať medzi sieťami. Prijať paket adresovaný link-local cieľu a odoslať ho iným rozhraním by vytvorilo nejednoznačnosť, lebo «lokálne» u odosielateľa a «lokálne» u príjemcu sú rôzne miesta. Žiadne vyhľadávanie nerozhodne, ktoré z nich odosielateľ myslel. Preposielanie tu nie je politická voľba, ktorú by správca mohol zapnúť; trieda adries to vylučuje.
Brána, ktorá 169.254.1.10 zavedie ako dostupnú cez tunel, teda žiada jadro o niečo, čo formát adresy zakazuje. Paket sa zahodí dávno predtým, než dorazí k vzdialenému hostu, a žiadna presnosť trasy to nezmení.
Prečo tunel zviditeľní problém rozsahu
Rozhranie TUN prenáša IP pakety medzi dvoma partnermi a nemá za sebou zdieľaný segment. Nie je tu broadcast, žiadne ARP pre druhú stranu ani objavovanie susedov, ktoré by link-local cieľ preložilo na adresu linkovej vrstvy.
Príznaky do seba zapadnú, keď viete, čo hľadať. Trasa je v tabuľke, ping hlási úplnú stratu namiesto nedostupnej siete a tabuľka susedov ukazuje neúplný alebo neúspešný záznam. Zachytenie na tuneli ukáže paket odchádzať, čo ľudí posiela k vzdialenému koncu namiesto k triede adresy.
Vo Windows je druhý, zdanlivo nesúvisiaci príznak s tým istým koreňom: adaptér, ktorému zostala len link-local adresa, nemá použiteľnú bránu, takže identifikácia siete nemôže pripojenie zaradiť a profil firewallu skončí na verejnom. Tunel nie je príčina; príčinou je adresa.
Rozhodnite tromi otázkami
Voľba medzi opravou podsiete a premostením spoja závisí od troch podmienok a ktorákoľvek z nich ju môže vyriešiť skôr, než otvoríte konfiguračný súbor.
| Question | If yes | If no |
|---|---|---|
| Can the far-side host be given a routable address? | Change the host or fix DHCP and route normally | Continue to the next question |
| Does the device accept a static address at all? | Assign one from the site's real prefix | Bridging is the only remaining option |
| Can you accept broadcast crossing the tunnel? | A bridge is viable for a small segment | Replace the device or accept no remote access |
Väčšina prípadov sa zastaví pri prvej otázke. Host s link-local adresou zvyčajne znamená, že DHCP neodpovedal, kábel alebo VLAN sú nesprávne, alebo niekto adresu napísal ručne. Opraviť to je lacnejšie ako akákoľvek práca s tunelom a odstráni problém u každého budúceho klienta, nielen u tohto.
Pred akýmkoľvek predpokladom skontrolujte stranu servera. Spustite ip addr show a ip route na hoste a arp -n alebo route print -4 na klientovi, aby ste videli, či prefix naozaj existuje alebo to tvrdí len starý záznam.
Čo most stojí, keď je správnou odpoveďou
Premostenie fyzického adaptéra s adaptérom TAP urobí zo vzdialeného klienta časť lokálnej broadcastovej domény. Potom broadcast a objavovanie susedov fungujú a link-local adresa znova dáva zmysel, lebo klient je skutočne lokálny na tom spoji.
Náklady sú reálne a treba ich uviesť, kým niekto súhlasí. Broadcastová prevádzka prechádza tunelom, klient je vystavený lokálnemu segmentu pre čokoľvek, nielen pre služby, ktoré potrebuje, a server musí teraz preposielať rámce namiesto smerovania paketov. Pre laboratórny stôl alebo zariadenie bez smerovateľnej konfiguračnej cesty je to rozumná výmena, pre vzdialený prístup zlé predvolené nastavenie.
Keď most postavíte, potrebujete obe polovice: most na serveri a trasu v profile klienta, ktorá povie, ktoré ciele sú na druhej strane. Samotný most nechá klienta hádať a samotná trasa triedu adresy nespraví.