OpenVPN-kiszolgáló-segéd: hálózat plusz hálózati maszk, soha nem CIDR

Az a kiszolgálósor, amely CIDR-utótagot kever pontokkal tagolt maszkkal, még az előtt leállítja a démont, hogy egyáltalán portot nyitna. Az IPv4 server segéd két külön argumentumot kér: egy igazított hálózati címet, majd a hálózati maszkot pontokkal tagolt formában. Minden más ezen a soron következtetés, és a következtetés az, ahol a címkészlet-méretek és az ügyfélmaszkok elromlanak.

A két argumentum, amelyet a segéd elfogad

Először a hálózatot írja be, aztán a maszkot, anélkül hogy bármit a címhez kapcsolna:

server 10.72.16.0 255.255.240.0

Ez a /20 formája. Az alábbi sor a hiba, és a beállítások elemzésekor bukik el, nem futásidőben:

server 10.72.16.0/20 255.255.240.0

A hibakeresésnél tartsa külön a két gondolatot. Az előtag hossza és a pontokkal tagolt maszk ugyanazt a tartományt írja le, de a segéd nem fogadja el mindkettőt egyszerre, és az elutasított sor olyan beállítási hibát ad, amely a direktívát nevezi meg, nem az aritmetikát.

A maszk beírása előtt igazítsa a hálózatot

Az első cím a tartomány hálózati címe, nem egy kényelmes ügyfélcím benne. /20 esetén a tartomány 10.72.16.0-tól 10.72.31.255-ig tart, és közülük csak az első érvényes hálózati argumentum. A /21 a 255.255.248.0 maszkot használja, és 10.72.16.0-tól 10.72.23.255-ig terjed, így a sora server 10.72.16.0 255.255.248.0.

Az előtag módosítása a tartományt változtatja és semmi mást. Nem változtatja meg, hány címet kap egy ügyfél, mert az a topológia tulajdonsága, nem az ezen a soron lévő maszké.

Erősítse meg a címkészletet a kiszolgáló oldaláról

Indítsa el a példányt előtérben részletes naplózással, és olvassa el a sorokat, amelyeket a segéd kiír. A felépített címkészlet indításkor kinyomtatódik, ami megbízhatóbb, mint az aritmetika kézi kiszámítása:

openvpn --config /etc/openvpn/server.conf --verb 4 --dev tun9 --port 1195

Keresse meg a címkészlet összegzését a kimenet teteje közelében. Felsorolja a tartományt, amelyet a segéd lefoglalt, és ha ez a tartomány nem felel meg a szándékának, a soron lévő argumentumok hibásak, bármit is mond a maszk aritmetikája.

Ezután csatlakoztasson egy ügyfelet, és keresse meg azt a sort, amely rögzíti a neki adott címet. Az az egyetlen cím a címkészlet tartománya mellett megmondja, hogy az ügyfél a lefoglalt blokkba került-e, vagy valahová, ahol nem várta. Ha a kettő nem egyezik, az argumentumokat javítsa, ne az ügyfelet. Ha egyeznek, és az ügyfél még mindig semmit nem ér el, a címkészlet soha nem volt a probléma.

A topológiára gondolva olvassa az ügyfél maszkját

Az az ügyfél, amely /30-at mutat az alagút-interfészén, nem bizonyíték a tönkrement címkészletre. Pont-pont címzésnél minden ügyfél kis blokkot kap, és az interfész maszkja ezt a blokkot írja le, miközben a kiszolgáló címkészlete az egészet lefedi. Alhálózati topológiánál viszont az ügyfél maszkja a címkészlet maszkjával egyezik. A maszk tehát önmagában azt mondja meg, melyik topológia van játékban, nem azt, hogy a címkészlet helyesen van-e megírva.

A következtetés levonása előtt ellenőrizze együtt a beállított topológiát és a kiosztott címet:

ip -4 addr show tun0

Ha a cím a címkészleten belül van, és a maszk szűkebb a címkészletnél, akkor a topológia végzi a dolgát. Ha a cím a címkészleten kívül van, a címkészlet hibás, és semmilyen ügyféloldali vizsgálat nem javítja meg.

Élő címkészlet módosítása

Válasszon olyan tartományt, amely nem fedi át a jelenlegi címkészletet, a LAN-t vagy az ügyfeleknek már elküldött bármely útvonalat. Az átfedés az a hiba, amely túléli az újraindítást, majd napokkal később egyetlen helyként jelenik meg, amely egy irányból elérhetetlen.

Módosítsa a sort, indítsa újra, és olvassa újra az indítási címkészletet, mielőtt visszaengedné a felhasználókat. Ha az új tartomány ütközik valamivel, ugyanaz az indítási kimenet azonnal megmutatja, és a visszaállítás egy sor szerkesztése plusz még egy újraindítás.

Tartsa a régi tartományt egy ideig lefoglalva a változtatás után. A későn csatlakozó ügyfelek még tarthatnak címet az előző címkészletből, és az új tartomány, amely újrahasznosítja ezeket a címeket, duplikált kiosztásokat hoz létre, amelyek útvonalhibának tűnnek. Az OpenVPN 2.6 kézikönyv dokumentálja a segéd argumentumait és kiterjesztését, amit érdemes elolvasni, mielőtt feltételezi, hogy egy direktíva ugyanazt a jelölést használja, mint a szomszédja.