Warum ein OpenVPN-/24 schneller ohne Clients dasteht, als Sie erwarten
Unter net30 belegt jeder Client ein /30, ein /24 endet also nahe 64. Zählen Sie die Zuweisungen, finden Sie die tatsächliche Ablehnung und dimensionieren Sie den Pool neu nach dem Adressplan.
Pools auf einem /24, die im Bereich der Sechziger keine Clients mehr annehmen, verhalten sich wie vorgesehen und stoßen nicht an eine Lizenzgrenze. Unter net30 erhält jeder Client eine virtuelle Punkt-zu-Punkt-Verbindung, die vier Adressen belegt, sodass ein Subnetz mit 256 Adressen etwa ein Viertel dessen trägt, was das Präfix vermuten lässt. Die Zahl, auf die es ankommt, sind Zuweisungen, nicht Adressen. Das Präfix als Clientzahl zu lesen ist der Fehler, der die Suche nach einem versteckten Benutzerlimit auslöst.
Zwei Topologien, zwei Rechenmodelle, und nur eines davon passt zu dem Präfix, das man annimmt.
net30 verbraucht vier Adressen pro Client
net30 weist jedem Client einen /30-Block zu, weil jede Sitzung als Punkt-zu-Punkt-Verbindung mit je einer Adresse an beiden Enden modelliert wird. Vier Adressen gehen in diesen Block, zwei sind nutzbar, deshalb beträgt die effektive Clientzahl ein Viertel des Subnetzes. Auf einem /24 bleiben 64 Blöcke, bevor der eigene Block des Servers und eventuelle feste Zuweisungen abgehen. Eine gemeldete Obergrenze nahe 63 ist durchscheinende Arithmetik, kein konfiguriertes Maximum.
Auch der Server braucht seine eigene Zuweisung, und statische Client-Einträge belegen Blöcke, ob diese Clients sich verbinden oder nicht. Beides verringert den dynamischen Bereich, ohne das Präfix zu ändern, mit dem Sie begonnen haben.
Die Poolgrenzen zählen mehr als das Präfix
Die Server-Direktive kann einen Pool definieren, der enger ist als das benannte Subnetz, und ein Hilfsskript kann sich in zusätzliche Einstellungen erstrecken, die im geöffneten Profil nicht sichtbar sind. Feste Adressen aus einem client-config-Verzeichnis liegen in diesem Bereich und dürfen nicht zweimal ausgegeben werden. Das Präfix beschreibt den maximal möglichen Raum; der effektive Pool ist das, was die laufende Konfiguration tatsächlich bietet.
Vergleichen Sie beides, bevor Sie etwas über die Kapazität schließen, denn ein kleiner konfigurierter Bereich erklärt die Obergrenze genauso gut wie die Topologie.
Finden Sie das Limit, das den Client tatsächlich abgelehnt hat
Lesen Sie zuerst die Topologie und den effektiven Pool, berücksichtigen Sie dann feste Zuweisungen und reservierte Adressen. Prüfen Sie auch max-clients und jede Zugangskontrolle außerhalb von OpenVPN, bevor Sie den Adressraum beschuldigen. Gleichen Sie zuletzt die eigene Meldung des Servers im Moment der Ablehnung mit diesen Kandidaten ab. Die Meldung benennt die Einschränkung; die Zahl grenzt nur das Feld ein.
Eine Ablehnung mit einem Nebenläufigkeitsfehler und eine Ablehnung mit einem Zuweisungsfehler haben unterschiedliche Korrekturen, und zwischen ihnen zu raten verschwendet ein Wartungsfenster.
Der Wechsel der Topologie ändert den Adressplan
Wechsel zur Subnetz-Topologie gibt jedem Client eine Adresse statt eines Blocks, was der richtige Schritt ist, wenn das Präfix wirklich zu klein ist. Er ändert auch die Bedeutung der Client-Adressparameter, daher muss jede feste Zuweisung und jede client-spezifische Datei neu hergeleitet statt von Hand umnummeriert werden. Planen Sie den neuen Bereich, migrieren Sie die statischen Einträge und aktualisieren Sie die Routen, die darauf verweisen.
Der Wechsel ist kein Synonym für die alte Konfiguration. Behandeln Sie ihn als Änderung des Adressplans mit eigener Prüfung, und rechnen Sie damit, dass mindestens ein Client eine Adresse aus dem vorherigen Schema behält.
Bemessen Sie den Pool nach dem Plan, nicht nach der Maske
Wählen Sie die Größe aus der Zahl gleichzeitiger Clients plus Reserve für Wiederverbindungen und Tests und nehmen Sie dann das kleinste Präfix, das dies unter der gewählten Topologie abdeckt. Die Erweiterung auf ein /16, um eine Obergrenze von sechzig Clients zu lösen, tauscht ein Kapazitätsproblem gegen ein Routing- und Überlappungsproblem, weil ein größerer privater Bereich eher mit etwas kollidiert, das der Client bereits erreicht.
Dokumentieren Sie Topologie, Pool, feste Zuweisungen und die resultierende Client-Obergrenze gemeinsam. Die nächste Kapazitätsfrage ist dann Arithmetik statt einer Untersuchung.