Защо един OpenVPN /24 свършва клиентите по-рано, отколкото очаквате

Пуловете, изградени върху /24, които спират да приемат клиенти около шейсет, работят както е проектирано, а не се удрят в лицензионна граница. При net30 на всеки клиент се дава виртуална връзка точка-точка, която заема четири адреса, затова подмрежа от 256 адреса поддържа около една четвърт от това, което предполага префиксът. Броят, който има значение, е разпределенията, не адресите. Да се чете префиксът като брой клиенти е грешката, която поражда търсене на скрит таван на потребителите.

Две топологии, два аритметични модела и само един от тях съвпада с префикса, който хората предполагат.

net30 изразходва четири адреса на клиент

net30 разпределя блок /30 на клиент, защото всяка сесия се моделира като връзка точка-точка с адрес във всеки край. В този блок влизат четири адреса и два са използваеми, поради което ефективният брой клиенти е една четвърт от подмрежата. На /24 това оставя 64 блока, преди да излязат собственият блок на сървъра и всякакви фиксирани назначения. Съобщеният таван около 63 е аритметика, която прозира, а не конфигуриран максимум.

Сървърът също се нуждае от собствено разпределение, а статичните записи за клиенти заемат блокове независимо дали тези клиенти се свързват. И двете намаляват динамичния диапазон, без да променят префикса, с който сте започнали.

Границите на пула са по-важни от префикса

Директивата на сървъра може да дефинира пул, по-тесен от подмрежата, която назовава, а помощен скрипт може да се разгърне в допълнителни настройки, които не се виждат в профила, който сте отворили. Фиксираните адреси от директория client-config седят в този диапазон и не могат да бъдат раздадени два пъти. Префиксът описва максималното възможно пространство; ефективният пул е това, което работещата конфигурация всъщност предлага.

Сравнете двете, преди да правите каквито и да е изводи за капацитета, защото по-малък конфигуриран диапазон обяснява тавана точно толкова добре, колкото и топологията.

Открийте ограничението, което всъщност е отказало клиента

Прочетете първо топологията и ефективния пул, след това отчетете фиксираните назначения и резервираните адреси. Проверете също max-clients и всеки контрол на достъпа извън OpenVPN, преди да обвинявате адресното пространство. Накрая, съпоставете собственото съобщение на сървъра в момента на отказа с тези кандидати. Съобщението назовава ограничението; броят само стеснява полето.

Отказ, който идва с грешка за едновременност, и отказ, който идва с грешка за разпределение, имат различни поправки, а гадането между тях прахосва прозорец за поддръжка.

Смяната на топологията сменя адресния план

Преминаване към топология подмрежа дава на всеки клиент един адрес вместо блок, което е правилният ход, когато префиксът е наистина твърде малък. Това също променя значението на параметрите за адрес на клиента, затова всяко фиксирано назначение и всеки файл, специфичен за клиент, трябва да бъдат изведени наново, а не преномерирани на ръка. Планирайте новия диапазон, мигрирайте статичните записи и актуализирайте маршрутите, които ги препращат.

Превключването не е синоним на старата конфигурация. Отнасяйте се към него като към промяна на адресния план със собствен преглед и очаквайте поне един клиент да запази адрес от предишната схема.

Определете размера на пула от плана, а не от маската

Изберете размера от броя на едновременните клиенти плюс резерв за повторни връзки и тестване, след което изберете най-малкия префикс, който го покрива при избраната топология. Разширяването до /16, за да се реши таван от шейсет клиента, разменя проблем с капацитета за проблем с маршрутизацията и застъпването, защото по-голям частен диапазон по-вероятно ще се сблъска с нещо, до което клиентът вече достига.

Документирайте заедно топологията, пула, фиксираните назначения и произтичащия таван на клиентите. Следващият въпрос за капацитета тогава е аритметика, а не разследване.