169.254 кроз VPN: адреса никада није била рутабилна
Link-local одредиште се одбацује пре него што стигне до тунела, па додавање рута само шири квар. Изаберите између поправке подмреже и моста.
Додајете руту, тунел се подиже, а ping на другу страну ипак умире са потпуним губитком, а не са «network unreachable». Та разлика је важна: скреће поглед са табеле рутирања на саму адресу. Адреса 169.254 је link-local, а њен домет се по дизајну завршава на првом хопу.
Одлука која следи је уска: поправити подмрежу на страни сервера или проширити сегмент 2. слоја. И шира рута само шири исти квар на више одредишта.
Адреса није без руте, она је нерутабилна
IPv4 link-local адресе се саме додељују када ништа боље не одговори; одатле долази аутоматско приватно адресирање у Windows-у и одговарајућа резерва у другим системима. Опсег се користи на свакој вези истовремено и зато ради: два хоста у истом сегменту разговарају без икакве координације.
Због истог својства рутер не сме да прослеђује такве пакете између мрежа. Примити пакет упућен link-local одредишту и послати га кроз друго сучеље створило би нејасноћу, јер су «локално» пошиљаоца и примаоца различита места. Нема претраге која би одлучила које је од тога пошиљалац мислио. Прослеђивање овде није политичка опција коју администратор може да укључи; класа адреса то искључује.
Зато гејтвеј који 169.254.1.10 постави као доступан кроз тунел тражи од језгра нешто што формат адресе забрањује. Пакет се одбацује много пре него што стигне до удаљеног хоста.
Зашто тунел чини проблем домета видљивим
TUN сучеље преноси IP пакете између два партнера и нема заједнички сегмент иза себе. Нема broadcast-а, нема ARP-а за другу страну и нема откривања суседа.
Симптоми се тачно поклапају. Рута је у табели, ping пријављује потпуни губитак, табела суседа показује непотпуни запис. Снимак на тунелу показује пакет како излази, што људе усмерава ка удаљеном крају уместо ка класи адресе.
У Windows-у постоји други, наизглед неповезан симптом истог корена: адаптер само са link-local адресом нема употребљив гејтвеј, па профил заштитног зида пада на јавни. Тунел није узрок; адреса јесте.
Одлучите са три питања
Избор између поправке подмреже и моста зависи од три услова.
| Question | If yes | If no |
|---|---|---|
| Can the far-side host be given a routable address? | Change the host or fix DHCP and route normally | Continue to the next question |
| Does the device accept a static address at all? | Assign one from the site's real prefix | Bridging is the only remaining option |
| Can you accept broadcast crossing the tunnel? | A bridge is viable for a small segment | Replace the device or accept no remote access |
Већина случајева стаје на првом питању. Хост са link-local адресом обично значи да DHCP није одговорио, да су кабл или VLAN погрешни или да је неко адресу уписао ручно. Поправка је јефтинија од сваког рада на тунелу и уклања проблем за сваког будућег клијента.
Проверите страну сервера. Покрените ip addr show и ip route на хосту те arp -n или route print -4 на клијенту, да видите да ли префикс стварно постоји или то тврди само стари запис.
Колико мост кошта када је прави одговор
Премошћавање физичког адаптера са TAP адаптером чини удаљеног клијента делом локалне broadcast домене.
Трошкови су стварни и треба их навести пре него што се неко сложи. Broadcast саобраћај прелази тунел, клијент је изложен локалном сегменту за све сврхе, а сервер сада прослеђује оквире уместо да рутира пакете. За лабораторијску клупу то је разумна замена, за удаљени приступ лоша подразумевана поставка.
Потребне су обе половине: мост на серверу и рута у профилу клијента. Сам мост оставља клијента да нагађа, а сама рута не може да поправи класу адресе.