Zašto OpenVPN /24 ostaje bez klijenata brže nego što očekujete

Poolovi izgrađeni na /24 koji prestanu primati klijente oko šezdeset rade kako su projektovani, a ne udaraju u licencni limit. Pod net30 svaki klijent dobija virtuelnu tačka-na-tačku vezu koja troši četiri adrese, pa podmreža od 256 adresa podržava otprilike četvrtinu onoga što prefiks sugeriše. Broj koji je važan su alokacije, ne adrese. Čitanje prefiksa kao broja klijenata je greška koja pokreće potragu za skrivenim ograničenjem korisnika.

Dvije topologije, dva aritmetička modela, a samo jedan od njih odgovara prefiksu koji ljudi pretpostavljaju.

net30 troši četiri adrese po klijentu

net30 dodjeljuje blok /30 po klijentu, jer se svaka sesija modeluje kao tačka-na-tačku veza s adresom na svakom kraju. U taj blok ulaze četiri adrese, a dvije su iskoristive, zbog čega je efektivni broj klijenata četvrtina podmreže. Na /24 to ostavlja 64 bloka prije nego što izađu vlastiti blok servera i bilo kakve fiksne dodjele. Prijavljeni plafon blizu 63 je aritmetika koja se probija, a ne konfigurisani maksimum.

Serveru je također potrebna vlastita alokacija, a statični unosi klijenata troše blokove bez obzira na to povezuju li se ti klijenti. Oboje smanjuje dinamički raspon bez promjene prefiksa s kojim ste počeli.

Granice poolova su važnije od prefiksa

Direktiva servera može definisati pool uži od podmreže koju imenuje, a pomoćna skripta se može proširiti na dodatna podešavanja koja nisu vidljiva u profilu koji ste otvorili. Fiksne adrese iz direktorija client-config sjede unutar tog raspona i ne mogu se dodijeliti dvaput. Prefiks opisuje maksimalni mogući prostor; efektivni pool je ono što pokrenuta konfiguracija stvarno nudi.

Uporedite to dvoje prije nego što zaključite bilo šta o kapacitetu, jer manji konfigurisani raspon objašnjava plafon jednako dobro kao i topologija.

Pronađite limit koji je stvarno odbio klijenta

Prvo pročitajte topologiju i efektivni pool, pa uzmite u obzir fiksne dodjele i rezervisane adrese. Provjerite i max-clients i svaku kontrolu pristupa izvan OpenVPN-a prije nego što okrivite adresni prostor. Na kraju, uporedite vlastitu poruku servera u trenutku odbijanja s tim kandidatima. Poruka imenuje ograničenje; broj samo sužava polje.

Odbijanje koje dolazi s greškom istovremenosti i odbijanje koje dolazi s greškom alokacije imaju različite popravke, a nagađanje između njih troši prozor za održavanje.

Promjena topologije mijenja plan adresa

Prelazak na podmrežnu topologiju daje svakom klijentu jednu adresu umjesto bloka, što je pravi potez kada je prefiks zaista premali. To također mijenja značenje parametara adrese klijenta, pa se svaka prikvačena dodjela i svaka datoteka specifična za klijenta moraju izvesti ponovo, a ne prenumerisati ručno. Planirajte novi raspon, migrirajte statične unose i ažurirajte rute koje na njih upućuju.

Prelazak nije sinonim za staru konfiguraciju. Tretirajte ga kao promjenu plana adresa s vlastitim pregledom i očekujte da će barem jedan klijent zadržati adresu iz prethodne šeme.

Odredite veličinu poolova iz plana, a ne iz maske

Odaberite veličinu prema broju istovremenih klijenata plus rezervi za ponovna povezivanja i testiranje, pa uzmite najmanji prefiks koji to pokriva pod odabranom topologijom. Širenje na /16 da bi se riješio plafon od šezdeset klijenata mijenja problem kapaciteta za problem rutiranja i preklapanja, jer veći privatni raspon vjerovatnije kolidira s nečim do čega klijent već doseže.

Dokumentujte zajedno topologiju, pool, fiksne dodjele i rezultirajući plafon klijenata. Sljedeće pitanje o kapacitetu tada postaje aritmetika umjesto istrage.