Zašto OpenVPN /24 ostaje bez klijenata brže nego što očekujete

Poolovi izgrađeni na /24 koji prestanu primati klijente oko šezdeset ponašaju se kako su projektirani, a ne udaraju u licencno ograničenje. Pod net30 svaki klijent dobiva virtualnu vezu od točke do točke koja troši četiri adrese, pa podmreža od 256 adresa podržava otprilike četvrtinu onoga što prefiks sugerira. Broj koji je važan su alokacije, ne adrese. Čitanje prefiksa kao broja klijenata je pogreška koja pokreće potragu za skrivenim ograničenjem korisnika.

Dvije topologije, dva aritmetička modela, a samo jedan od njih odgovara prefiksu koji ljudi pretpostavljaju.

net30 troši četiri adrese po klijentu

net30 dodjeljuje blok /30 po klijentu, jer se svaka sesija modelira kao veza od točke do točke s adresom na svakom kraju. U taj blok ulaze četiri adrese, a dvije su iskoristive, zbog čega je efektivni broj klijenata četvrtina podmreže. Na /24 to ostavlja 64 bloka prije nego što izađu vlastiti blok poslužitelja i bilo kakve fiksne dodjele. Prijavljeni plafon blizu 63 je aritmetika koja se probija, a ne konfigurirani maksimum.

Poslužitelju je također potrebna vlastita alokacija, a statični unosi klijenata troše blokove bez obzira na to povezuju li se ti klijenti. Oboje smanjuje dinamički raspon bez promjene prefiksa s kojim ste počeli.

Granice poolova važnije su od prefiksa

Direktiva poslužitelja može definirati pool uži od podmreže koju imenuje, a pomoćna skripta može se proširiti na dodatne postavke koje nisu vidljive u profilu koji ste otvorili. Fiksne adrese iz direktorija client-config sjede unutar tog raspona i ne mogu se dodijeliti dvaput. Prefiks opisuje najveći mogući prostor; efektivni pool je ono što pokrenuta konfiguracija stvarno nudi.

Usporedite to dvoje prije nego što zaključite bilo što o kapacitetu, jer manji konfigurirani raspon objašnjava plafon jednako dobro kao i topologija.

Pronađite ograničenje koje je stvarno odbilo klijenta

Prvo pročitajte topologiju i efektivni pool, pa uzmite u obzir fiksne dodjele i rezervirane adrese. Provjerite i max-clients i svaku kontrolu pristupa izvan OpenVPN-a prije nego što okrivite adresni prostor. Na kraju, usporedite vlastitu poruku poslužitelja u trenutku odbijanja s tim kandidatima. Poruka imenuje ograničenje; broj samo sužava polje.

Odbijanje koje dolazi s greškom istovremenosti i odbijanje koje dolazi s greškom alokacije imaju različite popravke, a nagađanje između njih troši prozor za održavanje.

Promjena topologije mijenja plan adresa

Prelazak na podmrežnu topologiju daje svakom klijentu jednu adresu umjesto bloka, što je pravi potez kada je prefiks doista premali. To također mijenja značenje parametara adrese klijenta, pa se svaka pričvršćena dodjela i svaka datoteka specifična za klijenta moraju izvesti ponovno, a ne prenumerirati ručno. Planirajte novi raspon, migrirajte statične unose i ažurirajte rute koje na njih upućuju.

Prelazak nije sinonim za staru konfiguraciju. Tretirajte ga kao promjenu plana adresa s vlastitim pregledom i očekujte da će barem jedan klijent zadržati adresu iz prethodne sheme.

Odredite veličinu poolova iz plana, a ne iz maske

Odaberite veličinu prema broju istodobnih klijenata plus rezervi za ponovna povezivanja i testiranje, pa uzmite najmanji prefiks koji to pokriva pod odabranom topologijom. Širenje na /16 da bi se riješio plafon od šezdeset klijenata mijenja problem kapaciteta za problem usmjeravanja i preklapanja, jer veći privatni raspon vjerojatnije kolidira s nečim do čega klijent već doseže.

Dokumentirajte zajedno topologiju, pool, fiksne dodjele i rezultirajući plafon klijenata. Sljedeće pitanje o kapacitetu tada postaje aritmetika umjesto istrage.