169.254 prek VPN: naslov nikoli ni bil usmerljiv
Cilj link-local se zavrže, preden doseže tunel, zato dodajanje poti samo širi okvaro. Izberite med popravilom podomrežja in mostom.
Dodate pot, tunel se dvigne, a ping na drugo stran vseeno umre s popolno izgubo namesto «network unreachable». Ta razlika je pomembna, ker odvrne pogled od usmerjevalne tabele k naslovu samemu. Cilj 169.254 je link-local in njegov obseg se po zasnovi konča na prvem hopu, ne zaradi napačne konfiguracije.
Odločitev, ki sledi, je ozka in vredno jo je sprejeti izrecno: popravite podomrežje na strani strežnika ali razširite segment plasti 2, da naslov spet dobi lokalni pomen. Vse drugo, tudi širša pot, samo povzroči, da ista okvara velja za več ciljev.
Naslov ni brez poti, je neusmerljiv
Naslovi IPv4 link-local se dodelijo sami, ko nič boljšega ne odgovori; od tod izhaja samodejno zasebno naslavljanje v Windows in ustrezen nadomestni način v drugih sistemih. Obseg se uporablja na vsaki povezavi hkrati in prav zato deluje: dva gostitelja v istem segmentu se lahko pogovarjata brez kakršnega koli usklajevanja.
Zaradi iste lastnosti usmerjevalnik ne sme posredovati teh paketov med omrežji. Če bi prejel paket, naslovljen na link-local cilj, in ga poslal skozi drug vmesnik, bi ustvaril dvoumnost, ker sta »lokalno« pri pošiljatelju in »lokalno« pri prejemniku različna kraja. Nobeno iskanje ne more odločiti, katerega od obeh je pošiljatelj mislil. Posredovanje tukaj ni politična izbira, ki bi jo skrbnik lahko vklopil; razred naslovov to izključuje.
Zato prehod, ki 169.254.1.10 vpiše kot dosegljiv skozi tunel, od jedra zahteva nekaj, kar oblika naslova prepoveduje. Paket se zavrže veliko preden doseže oddaljenega gostitelja, in nobena natančnost poti tega ne spremeni.
Zakaj tunel razkrije težavo obsega
Vmesnik TUN prenaša pakete IP med dvema partnerjema in za seboj nima skupnega segmenta. Ni razpošiljanja, ni ARP za drugo stran in ni odkrivanja sosedov, ki bi link-local cilj pretvorilo v naslov plasti povezave.
Simptomi se natančno ujemajo, ko veste, kaj iskati. Pot je v tabeli, ping poroča popolno izgubo namesto nedosegljivega omrežja, tabela sosedov pa kaže nepopoln ali neuspešen vnos. Zajem na tunelu pokaže paket, ki odhaja, in to ljudi usmeri k oddaljenemu koncu namesto k razredu naslova.
V Windows je drug, na videz nepovezan simptom z isto korenino: vmesnik, ki mu ostane samo link-local naslov, nima uporabnega prehoda, zato identifikacija omrežja ne more razvrstiti povezave in profil požarnega zidu pade na javni. Tunel ni vzrok; naslov je.
Odločite s tremi vprašanji
Izbira med popravilom podomrežja in premostitvijo povezave je odvisna od treh pogojev, in kateri koli od njih jo lahko razreši, preden odprete konfiguracijsko datoteko.
| Question | If yes | If no |
|---|---|---|
| Can the far-side host be given a routable address? | Change the host or fix DHCP and route normally | Continue to the next question |
| Does the device accept a static address at all? | Assign one from the site's real prefix | Bridging is the only remaining option |
| Can you accept broadcast crossing the tunnel? | A bridge is viable for a small segment | Replace the device or accept no remote access |
Večina primerov se ustavi pri prvem vprašanju. Gostitelj z link-local naslovom običajno pomeni, da DHCP ni odgovoril, da sta kabel ali VLAN napačna ali da je nekdo naslov vpisal ročno. Popraviti to je ceneje od kakršnega koli dela na tunelu in odpravi težavo pri vsakem prihodnjem odjemalcu, ne le pri tem.
Preverite stran strežnika, preden kar koli domnevate. Zaženite ip addr show in ip route na gostitelju ter arp -n ali route print -4 na odjemalcu, da vidite, ali predpona res obstaja ali to trdi le star vnos.
Koliko stane most, ko je pravi odgovor
Premostitev fizičnega vmesnika z vmesnikom TAP naredi oddaljenega odjemalca del lokalne razpošiljalne domene. Takrat razpošiljanje in odkrivanje sosedov delujeta, link-local naslov pa spet dobi pomen, ker je odjemalec resnično lokalen na tej povezavi.
Stroški so resnični in jih je treba navesti, preden kdo privoli. Razpošiljalni promet prečka tunel, odjemalec je izpostavljen lokalnemu segmentu za vse namene in ne le za storitve, ki jih potrebuje, strežnik pa mora zdaj posredovati okvire namesto usmerjati pakete. To je razumna zamenjava za laboratorijsko mizo ali napravo brez usmerljive konfiguracijske poti in slaba privzeta vrednost za oddaljeni dostop.
Ko mostite, potrebujete obe polovici: most na strežniku in pot v profilu odjemalca, ki pove, kateri cilji so na drugi strani. Sam most pusti odjemalca ugibati, sama pot pa ne more popraviti razreda naslova.