Чаму OpenVPN /24 сканчае кліентаў хутчэй, чым вы чакаеце

Пулы, пабудаваныя на /24 і якія перастаюць прымаць кліентаў каля шасцідзесяці, паводзяць сябе як задумана, а не ўпіраюцца ў ліцэнзійную мяжу. Пры net30 кожнаму кліенту выдаецца віртуальная кропка-кропка сувязь, якая спажывае чатыры адрасы, таму падсетка на 256 адрасоў падтрымлівае прыкладна чвэрць таго, што прапаноўвае прэфікс. Важная лічба — гэта выдзяленні, а не адрасы. Чытанне прэфікса як колькасці кліентаў — гэта памылка, якая спараджае пошук схаванай мяжы карыстальнікаў.

Дзве тапалогіі, дзве мадэлі разліку, і толькі адна з іх адпавядае прэфіксу, які мяркуюць людзі.

net30 расходуе чатыры адрасы на кліента

net30 выдзяляе блок /30 на кожнага кліента, бо кожная сесія мадэлюецца як кропка-кропка сувязь з адрасам на кожным канцы. У гэты блок ідуць чатыры адрасы, і два з іх прыдатныя, таму эфектыўная колькасць кліентаў — чвэрць падсеткі. На /24 гэта пакідае 64 блокі да таго, як выйдуць уласны блок сервера і любыя фіксаваныя прызначэнні. Заяўленая столь каля 63 — гэта арыфметыка, якая праглядвае, а не наладжаны максімум.

Сервер таксама мае патрэбу ў сваім выдзяленні, а статычныя запісы кліентаў займаюць блокі незалежна ад таго, ці тыя кліенты падключаюцца. Абодва змяншаюць дынамічны дыяпазон, не змяняючы прэфікс, з якога вы пачалі.

Межы пула важнейшыя за прэфікс

Дырэктыва сервера можа вызначыць пул вузейшы за падсетку, якую яна называе, а дапаможны скрыпт можа пашырыцца на дадатковыя налады, не бачныя ў профілі, які вы адкрылі. Фіксаваныя адрасы з каталога client-config знаходзяцца ўнутры гэтага дыяпазону і не могуць быць выдадзены двойчы. Прэфікс апісвае максімальна магчымую прастору; эфектыўны пул — гэта тое, што фактычна прапануе працуючая канфігурацыя.

Параўнайце іх, перш чым рабіць высновы пра ёмістасць, бо меншы наладжаны дыяпазон тлумачыць столь гэтак жа, як і тапалогія.

Знайдзіце мяжу, якая фактычна адмовіла кліенту

Спачатку прачытайце тапалогію і эфектыўны пул, затым улічыце фіксаваныя прызначэнні і зарезерваваныя адрасы. Праверце таксама max-clients і любы кантроль допуску па-за OpenVPN перад тым, як вінаваціць адрасную прастору. Нарэшце, супастаўце ўласнае паведамленне сервера ў момант адмовы з гэтымі кандыдатамі. Паведамленне называе абмежаванне; лічба толькі звужвае поле.

Адмова з памылкай адначасовасці і адмова з памылкай выдзялення маюць розныя выпраўленні, і здагадкі паміж імі марнуюць акно абслугоўвання.

Змена тапалогіі змяняе план адрасоў

Пераход да тапалогіі падсеткі дае кожнаму кліенту адзін адрас замест блока, і гэта правільны крок, калі прэфікс сапраўды занадта малы. Гэта таксама змяняе сэнс параметраў адрасу кліента, таму кожнае замацаванае прызначэнне і кожны файл, спецыфічны для кліента, трэба пераразлічыць, а не перанумараваць уручную. Сплануйце новы дыяпазон, перанясіце статычныя запісы і абнавіце маршруты, якія на іх спасылаюцца.

Пераключэнне не з'яўляецца сінонімам старой канфігурацыі. Разглядайце яго як змену плана адрасоў з уласным аглядам і чакайце, што хаця б адзін кліент захавае адрас са старой схемы.

Вызначайце памер пула з плана, а не з маскі

Выбірайце памер з колькасці адначасовых кліентаў плюс запас на перападлучэнні і тэсціраванне, затым вазьміце найменшы прэфікс, які гэта пакрывае пры абранай тапалогіі. Пашырэнне да /16, каб вырашыць столь у шасцідзесят кліентаў, абменьвае праблему ёмістасці на праблему маршрутызацыі і перакрыцця, бо большая прыватная прастора часцей сутыкаецца з тым, да чаго кліент ужо дацягваецца.

Задакументуйце тапалогію, пул, фіксаваныя прызначэнні і выніковую столь кліентаў разам. Наступнае пытанне пра ёмістасць стане арыфметыкай, а не расследаваннем.