مساعد خادم OpenVPN: الشبكة مع قناع الشبكة، وليس CIDR أبدًا

سطر الخادم الذي يخلط لاحقة CIDR بقناع منقّط يوقف الخادم قبل أن يفتح أي منفذ. يريد مساعد server الخاص بـ IPv4 وسيطين منفصلين: عنوان شبكة محاذى، ثم قناع الشبكة بصيغة منقّطة. كل ما عدا ذلك على هذا السطر استنتاج، والاستنتاج هو حيث تخطئ أحجام التجمعات وأقنعة العملاء.

الوسيطان اللذان يقبلهما المساعد

اكتب الشبكة أولًا ثم القناع، دون أن يُلحق أي شيء بالعنوان:

server 10.72.16.0 255.255.240.0

هذا هو الشكل الخاص بـ /20. السطر أدناه هو الخطأ، وهو يفشل عند تحليل الخيارات لا عند التشغيل:

server 10.72.16.0/20 255.255.240.0

افصل الفكرتين عند تصحيح هذا. طول البادئة والقناع المنقّط يصفان المدى نفسه، لكن المساعد لا يقبل الاثنين معًا، والسطر المرفوض يُنتج خطأ خيارات يسمّي التوجيه لا الحساب.

حاذِ الشبكة قبل أن تكتب القناع

العنوان الأول هو عنوان شبكة النطاق، وليس عنوان عميل مريحًا داخله. بالنسبة إلى /20 يمتد النطاق من 10.72.16.0 إلى 10.72.31.255، والأول فقط منهما وسيط شبكة صالح. يستخدم /21 القناع 255.255.248.0 ويمتد من 10.72.16.0 إلى 10.72.23.255، لذا فإن سطره هو server 10.72.16.0 255.255.248.0.

تغيير البادئة يغيّر المدى ولا شيء آخر. لا يغيّر عدد العناوين التي يتلقاها عميل واحد، لأن ذلك خاصية في الطوبولوجيا لا في القناع الموجود على هذا السطر.

أكّد التجمع من جانب الخادم

شغّل النسخة في المقدمة مع تسجيل مفصل واقرأ الأسطر التي يصدرها المساعد. يُطبع التجمع الذي بناه عند بدء التشغيل، وهذا أوثق من إجراء الحساب يدويًا:

openvpn --config /etc/openvpn/server.conf --verb 4 --dev tun9 --port 1195

ابحث عن ملخص التجمع قرب أعلى الخرج. يسرد النطاق الذي حجزه المساعد، وإذا لم يطابق هذا النطاق نيتك، فالوسائط على السطر خاطئة بغض النظر عما يقوله حساب القناع.

ثم وصّل عميلًا واحدًا وابحث عن السطر الذي يسجّل العنوان الذي أعطي له. ذلك العنوان الواحد، بجوار نطاق التجمع، يخبرك ما إذا كان العميل قد هبط داخل الكتلة المحجوزة أو في مكان لم تتوقعه. إذا اختلف الاثنان، فأصلح الوسائط لا العميل. وإذا اتفقا ومع ذلك لا يزال العميل عاجزًا عن الوصول إلى أي شيء، فالتجمع لم يكن المشكلة قط.

اقرأ قناع العميل مع وضع الطوبولوجيا في الحسبان

العميل الذي يُظهر /30 على واجهة النفق الخاصة به ليس دليلًا على تجمع معطوب. في العنونة من نقطة إلى نقطة يحصل كل عميل على كتلة صغيرة ويصف قناع واجهته تلك الكتلة، بينما يغطي تجمع الخادم المجموع. وفي طوبولوجيا الشبكة الفرعية يطابق قناع العميل قناع التجمع بدلًا من ذلك. لذلك يخبرك القناع وحده أي طوبولوجيا قيد الاستخدام، لا ما إذا كان التجمع مكتوبًا بشكل صحيح.

تحقق من الطوبولوجيا المضبوطة والعنوان المعيّن معًا قبل أن تخلص إلى نتيجة:

ip -4 addr show tun0

إذا كان العنوان داخل التجمع والقناع أضيق من التجمع، فهذه الطوبولوجيا تقوم بعملها. وإذا كان العنوان خارج التجمع، فالتجمع خاطئ، ولن يصلحه أي قدر من الفحص من جانب العميل.

تغيير تجمع حيّ

اختر نطاقًا لا يتداخل مع التجمع الحالي أو الشبكة المحلية أو أي مسار دُفع إلى العملاء بالفعل. التداخل هو العطل الذي ينجو من إعادة التشغيل ثم يظهر بعد أيام كموقع واحد غير قابل للوصول من اتجاه واحد.

غيّر السطر، وأعد التشغيل، وأعد قراءة تجمع بدء التشغيل قبل السماح للمستخدمين بالعودة. وإذا تصادم النطاق الجديد مع شيء ما، يُظهر ذلك خرج بدء التشغيل نفسه فورًا، والتراجع تعديل سطر واحد ثم إعادة تشغيل أخرى.

أبقِ النطاق القديم محجوزًا لبعض الوقت بعد التغيير. العملاء الذين يتصلون متأخرًا قد يحتفظون بعنوان من التجمع السابق، والنطاق الجديد الذي يعيد استخدام تلك العناوين يُنتج تعيينات مكررة تبدو كعطل في التوجيه. يوثّق دليل OpenVPN 2.6 وسائط المساعد وتمدده، ويستحق القراءة قبل أن تفترض أن توجيهًا ما يأخذ الترميز نفسه الذي يأخذه جاره.