Cymorthydd gweinydd OpenVPN: rhwydwaith a mwgwd, nid CIDR byth

Mae llinell weinydd sy’n cymysgu ôl-ddodiad CIDR â mwgwd dotiog yn atal y daemon cyn iddo agor porth o gwbl. Mae cymorthydd server ar gyfer IPv4 eisiau dau ddadl ar wahân: cyfeiriad rhwydwaith wedi’i alinio, yna’r mwgwd rhwydwaith ar ffurf ddotiog. Mae popeth arall ar y llinell honno’n gasgliad, a chasgliad yw’r lle y mae meintiau pwll a masgiau cleientiaid yn mynd o chwith.

Y ddau ddadl y mae’r cymorthydd yn eu derbyn

Ysgrifennwch y rhwydwaith yn gyntaf a’r mwgwd yn ail, heb ddim wedi’i gysylltu â’r cyfeiriad:

server 10.72.16.0 255.255.240.0

Dyma’r ffurf ar gyfer /20. Y llinell isod yw’r camgymeriad, ac mae’n methu wrth ddadansoddi opsiynau yn hytrach nag wrth redeg:

server 10.72.16.0/20 255.255.240.0

Cadwch y ddau syniad ar wahân wrth ddadfygio hyn. Mae hyd rhagddodiad a mwgwd dotiog yn disgrifio’r un amrediad, ond nid yw’r cymorthydd yn derbyn y ddau ar unwaith, ac mae llinell a wrthodwyd yn cynhyrchu gwall opsiynau sy’n enwi’r gyfarwyddeb yn hytrach na’r rhifyddeg.

Aliniwch y rhwydwaith cyn i chi deipio’r mwgwd

Y cyfeiriad cyntaf yw cyfeiriad rhwydwaith yr amrediad, nid cyfeiriad cleient cyfleus y tu mewn iddo. Ar gyfer /20 mae’r amrediad yn rhedeg o 10.72.16.0 i 10.72.31.255, a dim ond y cyntaf o’r rheini sy’n ddadl rhwydwaith ddilys. Mae /21 yn defnyddio 255.255.248.0 ac yn ymestyn o 10.72.16.0 hyd at 10.72.23.255, felly ei linell yw server 10.72.16.0 255.255.248.0.

Mae newid y rhagddodiad yn newid yr amrediad a dim arall. Nid yw’n newid faint o gyfeiriadau y mae un cleient yn eu cael, oherwydd bod hynny’n briodwedd o’r topoleg, nid o’r mwgwd ar y llinell hon.

Cadarnhewch y pwll o ochr y gweinydd

Dechreuwch y cynnig yn y blaendir gyda chofnodi manwl a darllenwch y llinellau y mae’r cymorthydd yn eu hallyrru. Mae’r pwll a adeiladodd yn cael ei argraffu wrth gychwyn, sy’n fwy dibynadwy na chyfrifo’r rhifyddeg â llaw:

openvpn --config /etc/openvpn/server.conf --verb 4 --dev tun9 --port 1195

Chwiliwch am grynodeb y pwll yn agos at frig yr allbwn. Mae’n rhestru’r amrediad a gadwodd y cymorthydd, ac os nad yw’r amrediad hwnnw’n cyd-fynd â’ch bwriad, mae’r dadleuon ar y llinell yn anghywir beth bynnag y dywed rhifyddeg y mwgwd.

Yna cysylltwch un cleient a dod o hyd i’r llinell sy’n cofnodi’r cyfeiriad a roddwyd iddo. Mae’r un cyfeiriad hwnnw, wrth ymyl amrediad y pwll, yn dweud wrthych a laniodd y cleient y tu mewn i’r bloc a gadwyd ai peidio, neu yn rhywle nad oeddech yn ei ddisgwyl. Os nad yw’r ddau’n cytuno, trwsiwch y dadleuon yn hytrach na’r cleient. Os ydynt yn cytuno ac eto ni all y cleient gyrraedd dim byd, nid y pwll oedd y broblem erioed.

Darllenwch fwgwd y cleient gan gofio’r topoleg

Nid yw cleient sy’n dangos /30 ar ei ryngwyneb twnnel yn brawf o bwll wedi torri. O dan gyfeirio pwynt-i-bwynt mae pob cleient yn cael bloc bach ac mae ei fwgwd rhyngwyneb yn disgrifio’r bloc hwnnw, tra bo pwll y gweinydd yn cwmpasu’r cyfan. O dan dopoleg is-rwydwaith mae mwgwd y cleient yn cyd-fynd â mwgwd y pwll yn lle hynny. Felly dim ond y mwgwd sy’n dweud pa dopoleg sydd ar waith, nid a yw’r pwll wedi’i ysgrifennu’n gywir.

Gwiriwch y dopoleg a ffurfweddwyd a’r cyfeiriad a neilltuwyd gyda’i gilydd cyn dod i gasgliad:

ip -4 addr show tun0

Os yw’r cyfeiriad y tu mewn i’r pwll a’r mwgwd yn gulach na’r pwll, y dopoleg sy’n gwneud ei gwaith. Os yw’r cyfeiriad y tu allan i’r pwll, mae’r pwll yn anghywir, ac ni fydd unrhyw archwiliad o ochr y cleient yn ei drwsio.

Newid pwll byw

Dewiswch amrediad nad yw’n gorgyffwrdd â’r pwll presennol, y LAN, nac unrhyw lwybr a wthiwyd at gleientiaid yn barod. Gorgyffwrdd yw’r methiant sy’n goroesi ailgychwyn ac wedyn, ddyddiau’n ddiweddarach, yn ymddangos fel un safle na ellir ei gyrraedd o un cyfeiriad.

Newidiwch y llinell, ailgychwynnwch, ac ailddarllenwch y pwll cychwyn cyn gadael i ddefnyddwyr ddod yn ôl. Os yw’r amrediad newydd yn gwrthdaro â rhywbeth, mae’r un allbwn cychwyn yn ei ddangos ar unwaith, ac mae troi’n ôl yn olygiad un llinell ynghyd ag un ailgychwyn arall.

Cadwch yr hen amrediad yn gadwysedig am sbel ar ôl y newid. Gall cleientiaid sy’n ailgysylltu’n hwyr fod yn dal cyfeiriad o’r pwll blaenorol, ac mae amrediad newydd sy’n ailddefnyddio’r cyfeiriadau hynny’n cynhyrchu neilltuadau dyblyg sy’n edrych fel nam llwybro. Mae llawlyfr OpenVPN 2.6 yn dogfennu dadleuon y cymorthydd a’i ehangiad, sy’n werth ei ddarllen cyn tybio bod cyfarwyddeb yn cymryd yr un nodiant â’i chymydog.