Intervalo ne estas itinero: igi 200-255 tri prefiksoj
Itinera linio prenas reton kaj maskon, neniam komencan kaj finan adreson. Sumu la intervalon en vicigitaj prefiksoj antaŭ ol OpenVPN instalos ĝin.
Fajroŝirmilaj reguloj akceptas unuan kaj lastan adreson, ekzemple 192.168.0.200 ĝis 192.168.0.255, dum itineroj ne faras tion. Itinera ero havas spacon nur por reto kaj masko, kio signifas, ke kontinua intervalo devas iĝi unu aŭ pluraj vicigitaj prefiksoj antaŭ ol OpenVPN instalos ĝin. Profilo, kiu parigas route-nopull kun nevicigita intervalo, estas kie la fiasko kutime kaŝiĝas, ĉar la dosiero analiziĝas kaj neniu itinero kongruas. Bonordigu la blokojn, kaj la fiasko vidiĝos per unu komando.
La mito: intervalo estas itinero
Itineraj tabeloj konservas parojn de reto kaj masko kaj elektas la plej longan kongruon, do intervalo kun komenco kaj fino ne havas lokon por loĝi. Unu prefikso kovranta 256 adresojn kovras .0 ĝis .255, duono de tiu grandeco kovras .0 ĝis .127, kaj nur intervalo vicigita al tiuj randoj mapiĝas en unu paŝo. Ĉio alia devas esti distranĉita en blokojn. Pli malgranda itinero ankoraŭ signifas la originan intervalon.
Intervalo, kiu ne estas prefikse vicigita, ne estas kunpremita itinero. Ĝi estas alia speco de objekto, kaj trakti ĝin kiel itineron estas kie la silento-fiasko komenciĝas.
Vicigo estas aritmetiko, ne stilo
Blokaj grandecoj estas fiksitaj de la prefiksa longo. /29 povas komenciĝi nur ĉe adreso dividebla per 8, /28 ĉe unu dividebla per 16, /27 ĉe unu dividebla per 32. Movu blokon for de ĝia limo kaj la masko kovros alian aron da adresoj ol tiu, kiun vi intencis.
Sumu de la malalta fino. En ĉiu paŝo prenu la plej grandan vicigitan blokon, kiu ne pasas la finan intervalon, poste daŭrigu ĉe la unua adreso post ĝi. La blokoj ne povas interkovriĝi, ĉar ĉiu komenciĝas tie, kie la antaŭa haltis.
Du homoj farantaj tion permane devus atingi la saman rezulton. Malkonsento signifas, ke iu permesis komencon, kiu ne estis vicigita.
Prilaboru 200 ĝis 255
| Step | Start | Block that fits | Line for the profile |
|---|---|---|---|
| 1 | .200, multiple of 8 | /29, 8 addresses | 192.168.0.200 255.255.255.248 |
| 2 | .208, multiple of 16 | /28, 16 addresses | 192.168.0.208 255.255.255.240 |
| 3 | .224, multiple of 32 | /27, 32 addresses | 192.168.0.224 255.255.255.224 |
La intervalo komenciĝas ĉe .200, kiu estas oblo de 8, do la unua bloko estas /29 de .200 ĝis .207. Post tiuj ok adresoj la unua libera valoro estas .208, kiu divideblas per 16, do /28 prenas .208 ĝis .223. Kio restas estas .224 ĝis .255, tridek du adresoj komenciĝantaj ĉe oblo de 32, do /27. Tiuj tri vicoj estas la tuta malkompono.
Skribu ilin kiel itinerajn liniojn anstataŭ kiel prozon. Profilo havanta nur la unuan linion kovras ok adresojn kaj lasas la reston ekster la tunelo.
route-nopull
route 192.168.0.200 255.255.255.248
route 192.168.0.208 255.255.255.240
route 192.168.0.224 255.255.255.224La lasta bloko bezonas limkontrolon. Ene de 192.168.0.224/27, .224 estas la reta adreso kaj .255 estas la dissenda adreso, do gastiganto, kiu devas respondi ĉe .255, estas kovrita de la prefikso kaj ankoraŭ neatingebla. Movu tiun gastiganton aŭ dividu la intervalon alimaniere anstataŭ itinerigi la blokon kaj esperi.
Kion route-nopull faras al la bildo
Aldonu route-nopull nur kiam la puŝitaj itineroj de la servilo estas nedezirataj. Sen la direktivo, puŝitaj itineroj kaj tiuj linioj kunekzistas, kaj la plej specifa prefikso venkas. Kun ĝi, puŝitaj DNS kaj DHCP opcioj ankaŭ malaperas, do interna nomresolucio bezonas sian propran agordon. Tiu kromefiko surprizas homojn, kiuj aldonis la direktivon por ripari itineran problemon.
Aldonu ĝin pro la ĝusta kialo, ne kiel aŭtomata reflekso. Forigi puŝitajn itinerojn estas politika decido kun DNS-sekvo. Se la servilo povas puŝi la samajn tri prefiksojn, lasu ĝin, kaj forigu la klientflankajn kopiojn por ke unu posedanto kontrolu la liston.
Kontroloj, kiuj kaptas la kutimajn erarojn
Kontrolu, ke ĉiu masko estas unu kontinua vico da unuoj. La valoro 255.255.255.248 pasas kaj 255.255.255.200 malsukcesas, kaj masko, kiu ne estas kontinua, estas malakceptita aŭ mislegita. Poste konfirmu la vojon por unu adreso en ĉiu bloko.
ip route get 192.168.0.205
ip route get 192.168.0.220
ip route get 192.168.0.240Ĉiu respondo devus nomi la tunelan interfacon. Rezulto nomanta la fizikan adaptilon signifas, ke la linio neniam estis instalita, kio ofte okazas kiam labortabla retadministrilo reskribas la tabelon post kiam la profilo konektiĝas.
Elektu unu posedanton por la listo. Kiam la servilo povas puŝi la samajn prefiksojn, puŝu ilin kaj forigu la klientflankajn redaktojn. Unu sola posedanto signifas, ke tajperaro havas unu lokon, kaj la kliento kaj la servilo ne povas malkonsenti pri tio, kiuj adresoj sidas ene de la tunelo.