Pam y mae OpenVPN /24 yn rhedeg allan o gleientiaid yn gynt nag y disgwyliwch

Mae pyllau a adeiledir ar /24 sy’n stopio derbyn cleientiaid tua chwe deg yn ymddwyn fel y’u cynlluniwyd, nid yn taro terfyn trwydded. O dan net30 rhoddir cyswllt pwynt-i-bwynt rhithwir i bob cleient sy’n defnyddio pedwar cyfeiriad, felly mae is-rwydwaith o 256 cyfeiriad yn cynnal tua chwarter yr hyn y mae’r rhagddodiad yn ei awgrymu. Y cyfrif sy’n bwysig yw’r dyrannu, nid y cyfeiriadau. Darllen y rhagddodiad fel cyfrif cleientiaid yw’r camgymeriad sy’n creu chwiliad am gap defnyddiwr cudd.

Dau dopoleg, dau fodel rhifyddol, a dim ond un ohonynt sy’n cyfateb i’r rhagddodiad y mae pobl yn ei dybio.

Mae net30 yn gwario pedwar cyfeiriad y cleient

Mae net30 yn dyrannu bloc /30 i bob cleient, oherwydd modelir pob sesiwn fel cyswllt pwynt-i-bwynt gyda chyfeiriad ar bob pen. Mae pedwar cyfeiriad yn mynd i’r bloc hwnnw ac mae dau yn ddefnyddiadwy, a dyna pam mae’r cyfrif cleientiaid effeithiol yn chwarter yr is-rwydwaith. Ar /24 mae hynny’n gadael 64 bloc cyn i floc y gweinydd ei hun a unrhyw ddyraniadau sefydlog ddod allan. Mae nenfwd a adroddir ger 63 yn rhifyddeg sy’n dangos trwodd, nid uchafswm a ffurfweddwyd.

Mae angen ei ddyraniad ei hun ar y gweinydd hefyd, ac mae cofnodion cleient statig yn defnyddio blociau p’un a yw’r cleientiaid hynny’n cysylltu ai peidio. Mae’r ddau yn lleihau’r ystod ddeinamig heb newid y rhagddodiad y gwnaethoch ddechrau ag ef.

Mae ffiniau’r pwll yn bwysicach na’r rhagddodiad

Gall cyfarwyddeb y gweinydd ddiffinio pwll sy’n gulach na’r is-rwydwaith y mae’n ei enwi, a gall sgript ategol ehangu i osodiadau ychwanegol nad ydynt i’w gweld yn y proffil a agoroch. Mae cyfeiriadau sefydlog o gyfeiriadur client-config yn eistedd o fewn yr ystod honno ac ni ellir eu rhoi ddwywaith. Mae’r rhagddodiad yn disgrifio’r gofod mwyaf posibl; y pwll effeithiol yw’r hyn y mae’r ffurfweddiad sy’n rhedeg yn ei gynnig mewn gwirionedd.

Cymharwch y ddau cyn dod i unrhyw gasgliad am gapasiti, oherwydd mae ystod ffurfweddedig lai yn egluro’r nenfwd yr un mor dda â’r topoleg.

Dewch o hyd i’r terfyn a wrthododd y cleient mewn gwirionedd

Darllenwch y dopoleg a’r pwll effeithiol yn gyntaf, yna cyfrifwch am ddyraniadau sefydlog a chyfeiriadau neilltuedig. Edrychwch hefyd ar max-clients ac unrhyw reolaeth derbyn y tu allan i OpenVPN cyn beio’r gofod cyfeiriadau. Yn olaf, cymharwch neges y gweinydd ei hun ar eiliad y gwrthodiad â’r ymgeiswyr hynny. Mae’r neges yn enwi’r cyfyngiad; dim ond culhau’r maes y mae’r cyfrif yn ei wneud.

Mae gwrthodiad sy’n dod â gwall cydamseredd a gwrthodiad sy’n dod â gwall dyrannu yn cael gwahanol atebion, ac mae dyfalu rhyngddynt yn gwastraffu ffenestr gynnal a chadw.

Mae newid topoleg yn newid y cynllun cyfeiriadau

Newid i dopoleg is-rwydwaith yn rhoi un cyfeiriad i bob cleient yn lle bloc, sef y symudiad cywir pan fo’r rhagddodiad yn wir yn rhy fach. Mae hefyd yn newid ystyr paramedrau cyfeiriad y cleient, felly rhaid ail-ddodwy’r holl ddyraniadau piniedig a phob ffeil a benodwyd i gleient yn hytrach na’u hailrifo â llaw. Cynlluniwch yr ystod newydd, mudo’r cofnodion statig, a diweddaru’r llwybrau sy’n cyfeirio atynt.

Nid yw’r newid yn gyfystyr â’r hen ffurfweddiad. Triniwch ef fel newid cynllun cyfeiriadau gyda’i adolygiad ei hun, a disgwyliwch i o leiaf un cleient ddal cyfeiriad o’r cynllun blaenorol.

Maint y pwll o’r cynllun, nid o’r mwgwd

Dewiswch y maint o nifer y cleientiaid cydamserol ynghyd â lle i ailgysylltu a phrofi, yna dewiswch y rhagddodiad lleiaf sy’n ei gwmpasu o dan y dopoleg a ddewiswyd. Mae ehangu i /16 i ddatrys nenfwd o chwe deg cleient yn cyfnewid problem capasiti am broblem llwybro a gorgyffwrdd, oherwydd mae ystod breifat fwy yn fwy tebygol o wrthdaro â rhywbeth y mae’r cleient eisoes yn ei gyrraedd.

Dogfennwch y dopoleg, y pwll, y dyraniadau sefydlog a’r nenfwd cleientiaid sy’n deillio ohonynt gyda’i gilydd. Yna mae’r cwestiwn capasiti nesaf yn rhifyddeg yn lle ymchwiliad.