Дапаможнік сервера OpenVPN: сетка плюс маска, ніколі CIDR

Радок сервера, які змешвае суфікс CIDR з кропкавай маскай, спыняе дэман яшчэ да таго, як ён адкрые порт. Дапаможнік server для IPv4 патрабуе два асобныя аргументы: выраўнаваны адрас сеткі, а затым маску ў кропкавай форме. Усё астатняе ў гэтым радку — здагадка, а здагадка — гэта месца, дзе памеры пула і маскі кліентаў ідуць не так.

Два аргументы, якія прымае дапаможнік

Спачатку запішыце сетку, потым маску, і нічога не далучайце да адраса:

server 10.72.16.0 255.255.240.0

Гэта форма для /20. Радок ніжэй — гэта памылка, і ён правальваецца пры разборы опцый, а не падчас выканання:

server 10.72.16.0/20 255.255.240.0

Трымайце дзве думкі асобна, калі адладжваеце гэта. Даўжыня прэфікса і кропкавая маска апісваюць адзін і той жа дыяпазон, але дапаможнік не прымае абодва адразу, і адхілены радок дае памылку опцый, якая называе дырэктыву, а не арыфметыку.

Выраўняйце сетку, перш чым уводзіць маску

Першы адрас — гэта адрас сеткі дыяпазону, а не зручны адрас кліента ўнутры яго. Для /20 дыяпазон ідзе ад 10.72.16.0 да 10.72.31.255, і толькі першы з іх з’яўляецца дапушчальным аргументам сеткі. /21 выкарыстоўвае 255.255.248.0 і ахоплівае 10.72.16.0 аж да 10.72.23.255, таму яго радок — server 10.72.16.0 255.255.248.0.

Змена прэфікса змяняе дыяпазон і больш нічога. Яна не змяняе, колькі адрасоў атрымлівае адзін кліент, бо гэта ўласцівасць тапалогіі, а не маскі ў гэтым радку.

Пацвердзіце пул з боку сервера

Запусціце асобнік у першым плане з падрабязным журналам і прачытайце радкі, якія выводзіць дапаможнік. Пул, які ён пабудаваў, друкуецца пры запуску, і гэта надзейней, чым вылічваць арыфметыку ўручную:

openvpn --config /etc/openvpn/server.conf --verb 4 --dev tun9 --port 1195

Шукайце зводку пула каля верхняй часткі вываду. Там пералічаны дыяпазон, які зарэзерваваў дапаможнік, і калі гэты дыяпазон не адпавядае вашай задуме, аргументы ў радку няправільныя, незалежна ад таго, што кажа арыфметыка маскі.

Затым падключыце аднаго кліента і знайдзіце радок, які запісвае выдадзены яму адрас. Гэты адзін адрас побач з дыяпазонам пула паказвае, ці трапіў кліент унутры зарэзерваванага блока ці дзесьці, дзе вы не чакалі. Калі двое не сыходзяцца, выпраўце аргументы, а не кліента. Калі яны сыходзяцца, а кліент усё яшчэ нікуды не дастае, пул ніколі не быў праблемай.

Чытайце маску кліента з улікам тапалогіі

Кліент, які паказвае /30 на сваім тунельным інтэрфейсе, не з’яўляецца доказам зламанага пула. Пры адрасацыі пункт-пункт кожны кліент атрымлівае невялікі блок, і маска яго інтэрфейса апісвае гэты блок, тады як пул сервера ахоплівае сукупнасць. Пры тапалогіі падсеткі маска кліента замест гэтага супадае з маскай пула. Такім чынам, адна маска паказвае, якая тапалогія задзейнічана, а не тое, ці правільна напісаны пул.

Праверце наладжаную тапалогію і прызначаны адрас разам, перш чым рабіць выснову:

ip -4 addr show tun0

Калі адрас унутры пула, а маска вузейшая за пул, гэта тапалогія робіць сваю працу. Калі адрас па-за пулам, пул няправільны, і ніякая праверка з боку кліента гэтага не выправіць.

Змена працуючага пула

Выберыце дыяпазон, які не перакрывае бягучы пул, LAN або любы маршрут, ужо адпраўлены кліентам. Перакрыццё — гэта збой, які перажывае перазапуск і потым праз дні ўсплывае як адзін сайт, недасяжны з аднаго кірунку.

Змяніце радок, перазапусціце і перачытайце пул запуску, перш чым пускаць карыстальнікаў назад. Калі новы дыяпазон сутыкаецца з чымсьці, той жа вывад запуску паказвае гэта адразу, а адкат — гэта праўка аднаго радка і яшчэ адзін перазапуск.

Пакіньце стары дыяпазон зарэзерваваным яшчэ некаторы час пасля змены. Кліенты, якія падключаюцца позна, могуць усё яшчэ трымаць адрас з папярэдняга пула, а новы дыяпазон, які паўторна выкарыстоўвае гэтыя адрасы, стварае дублікаты прызначэнняў, што выглядаюць як збой маршрутызацыі. Дапаможнік OpenVPN 2.6 дакументуе аргументы дапаможніка і яго расшырэнне, і гэта варта прачытаць, перш чым меркаваць, што дырэктыва прымае тую ж натацыю, што і яе сусед.