Por qué un OpenVPN /24 se queda sin clientes antes de lo que esperas

Los pools construidos sobre un /24 que dejan de aceptar clientes alrededor de los sesenta se comportan como fueron diseñados, no chocan con un límite de licencia. Con net30, cada cliente recibe un enlace virtual punto a punto que consume cuatro direcciones, así que una subred de 256 direcciones soporta aproximadamente una cuarta parte de lo que sugiere el prefijo. El número que importa son las asignaciones, no las direcciones. Leer el prefijo como un recuento de clientes es el error que provoca la búsqueda de un tope de usuarios oculto.

Dos topologías, dos modelos aritméticos, y solo una de ellas coincide con el prefijo que la gente supone.

net30 gasta cuatro direcciones por cliente

net30 asigna un bloque /30 por cliente, porque cada sesión se modela como un enlace punto a punto con una dirección en cada extremo. En ese bloque entran cuatro direcciones y dos son utilizables, por lo que el recuento efectivo de clientes es una cuarta parte de la subred. En un /24 eso deja 64 bloques antes de que salgan el bloque propio del servidor y cualquier asignación fija. Un techo reportado cerca de 63 es aritmética que se transparenta, no un máximo configurado.

El servidor también necesita su propia asignación, y las entradas estáticas de clientes consumen bloques tanto si esos clientes se conectan como si no. Ambas cosas reducen el rango dinámico sin cambiar el prefijo con el que empezaste.

Los límites del pool importan más que el prefijo

La directiva del servidor puede definir un pool más estrecho que la subred que nombra, y un script auxiliar puede expandirse en parámetros adicionales que no se ven en el perfil que abriste. Las direcciones fijas de un directorio client-config se sientan dentro de ese rango y no se pueden entregar dos veces. El prefijo describe el espacio máximo posible; el pool efectivo es lo que la configuración en ejecución ofrece realmente.

Compara los dos antes de concluir nada sobre la capacidad, porque un rango configurado más pequeño explica el techo igual de bien que la topología.

Encuentra el límite que realmente rechazó al cliente

Lee primero la topología y el pool efectivo, y luego ten en cuenta las asignaciones fijas y las direcciones reservadas. Revisa también max-clients y cualquier control de admisión fuera de OpenVPN antes de culpar al espacio de direcciones. Por último, compara el mensaje propio del servidor en el momento del rechazo con esos candidatos. El mensaje nombra la restricción; el recuento solo estrecha el campo.

Un rechazo que llega con un error de concurrencia y un rechazo que llega con un error de asignación tienen soluciones distintas, y adivinar entre ellos desperdicia una ventana de mantenimiento.

Cambiar la topología cambia el plan de direcciones

Pasar a la topología de subred da a cada cliente una dirección en lugar de un bloque, que es el movimiento correcto cuando el prefijo es realmente demasiado pequeño. También cambia lo que significan los parámetros de dirección del cliente, así que cada asignación fijada y cada archivo específico del cliente deben derivarse de nuevo en lugar de renumerarse a mano. Planifica el nuevo rango, migra las entradas estáticas y actualiza las rutas que hacen referencia a ellas.

El cambio no es sinónimo de la configuración anterior. Trátalo como un cambio de plan de direcciones con su propia revisión, y espera que al menos un cliente conserve una dirección del esquema anterior.

Dimensiona el pool a partir del plan, no de la máscara

Elige el tamaño a partir del número de clientes concurrentes más un margen para reconexiones y pruebas, y luego elige el prefijo más pequeño que lo cubra con la topología elegida. Ampliar a un /16 para resolver un techo de sesenta clientes cambia un problema de capacidad por un problema de enrutamiento y solapamiento, porque un rango privado más grande tiene más probabilidades de chocar con algo que el cliente ya alcanza.

Documenta a la vez la topología, el pool, las asignaciones fijas y el techo de clientes resultante. La siguiente pregunta sobre capacidad será entonces aritmética en lugar de una investigación.