Quin component posseeix realment un límit de rutes d’OpenVPN?
Un límit de rutes pot pertànyer al motor d’OpenVPN, al connector de NetworkManager o al servidor. Anomeneu el propietari abans d’editar un perfil o apujar un número.
Un perfil amb dues-centes rutes funciona en una màquina i n’instal·la quaranta en una altra. El motor, la integració que l’engega i el servidor que l’alimenta hi tenen veu, i cadascun pot aturar la llista en un punt diferent. Llegir la fallada com un sol límit us porta al fitxer equivocat. El mecanisme té tres etapes, i l’etapa que s’ha aturat deixa proves visibles quan sabeu què buscar.
Tres etapes, tres límits diferents
Primer el motor analitza l’opció i decideix si aquesta versió l’entén. Després la integració instal·la el que el motor reporta, i el seu propi codi pot limitar o remodelar la llista. Finalment el servidor decideix quantes rutes enviarà a una identitat concreta, abans que cap etapa del client vegi res. Tres etapes, tres sostres, i només un d’ells és el número del perfil.
Apujar un sostre no fa res pels altres. Una ruta enviada i rebutjada pot ser una decisió de política al servidor, un solapament que el client ha resolt, o un límit de l’instal·lador que ha descartat l’excés. Cadascun d’aquests casos té una solució diferent.
Separeu els tres abans de mesurar res. Un error de l’analitzador anomena un testimoni, un límit de l’instal·lador deixa una taula de rutes curta, i una decisió de política no deixa absolutament res. Les proves us diuen quina etapa cal inspeccionar primer.
| Stage | Who decides | What you can see |
|---|---|---|
| Parse | Client engine | An error naming the option |
| Install | Activation owner | A route count below the pushed count |
| Offer | Server policy | A route absent from the pushed list |
L’analitzador parla primer
Una opció desconeguda falla sorollosament i aviat, i el text de l’error anomena el testimoni. Aquesta és l’etapa més fàcil d’identificar: compareu el missatge exacte amb la versió instal·lada del motor, perquè una opció afegida en una versió és desconeguda en l’anterior. Un perfil copiat d’un desplegament més nou és la causa habitual d’aquest desajustament. L’analitzador no ignora mai en silenci una directiva que no reconeix.
Una opció acceptada no diu res sobre el resultat. L’anàlisi té èxit, i la llista encara pot quedar retallada per l’instal·lador o no ser mai oferta pel servidor. Tracteu una anàlisi neta com un permís per continuar, no com una prova.
Anoteu la cadena de versió del binari que realment s’ha executat, no de la idea que té el gestor de paquets del que està instal·lat. Aquests dos discrepen més sovint del que s’espera.
L’instal·lador té el seu propi sostre
El component que posseeix l’activació pot ser un connector de NetworkManager en lloc del binari del motor, i pot imposar el seu propi límit abans que existeixi cap túnel. El seu editor pot mostrar un camp que el motor en marxa no llegeix mai, o llegir un camp que l’editor no mostra. Totes dues situacions semblen un error del client des de fora. Cap de les dues es corregeix editant el perfil.
Compteu què ha arribat en lloc de què s’ha configurat. L’ordre ip route show dev tun0 llista les rutes instal·lades, i comparar aquest recompte amb la llista enviada separa una ruta descartada d’una que no s’ha enviat mai. Un recompte que coincideix amb l’enviament torna el dubte al servidor.
Una capa d’embolcall al voltant del binari del motor per forçar un número més gran enterboleix les actualitzacions i converteix la reversió en una endevinalla. També amaga el límit real a qui llegeixi la configuració després.
El servidor decideix què us han ofert
La política per client pot reduir la llista abans que es transmeti. Un fitxer específic del client pot afegir rutes per a una identitat, o una política de grup les pot ometre, i el client no pot distingir una ruta filtrada d’una que no s’ha definit mai. Aquesta ambigüitat és la raó per la qual el registre del servidor importa. Demaneu la llista efectiva d’enviament per a aquella identitat, no la plantilla.
Compareu el registre del servidor amb la llista rebuda. L’escletxa entre tots dos és la capa de política, i normalment és més petita del que el perfil suggereix.
Quan el disseny ho permet, resumiu les xarxes contigües i suprimiu les entrades obsoletes. Rutes menys nombroses i més grans resolen més casos que un sostre més alt.
Canvieu el número al lloc correcte
Feu servir el paràmetre documentat del component que realment posseeix el límit. Si el camp falta al connector, comproveu si el connector és anterior a la funció o si un altre rerefons posseeix les rutes. Després documenteu les versions del motor, del connector i del servidor al costat del valor triat. La propera actualització reobre la qüestió, i la nota és el que la fa respondre.
Torneu a provar després de qualsevol actualització de qualsevol dels tres. Un límit apujat al lloc correcte encara es mou quan canvia el component que l’aplica. El registre de versions és l’única cosa que fa predictible aquest moviment.