Kodėl OpenVPN /24 klientus išnaudoja anksčiau, nei tikėtasi

Telkiniai, sukurti ant /24 ir nustojantys priimti klientus ties šešiasdešimt, elgiasi taip, kaip suprojektuota, o ne atsimuša į licencijos limitą. Naudojant net30 kiekvienam klientui suteikiama virtuali taškas-taškas jungtis, kuri sunaudoja keturis adresus, todėl 256 adresų potinklis palaiko maždaug ketvirtadalį to, ką siūlo prefiksas. Svarbus skaičius yra priskyrimai, o ne adresai. Prefikso skaitymas kaip klientų skaičiaus yra klaida, sukelianti paslėpto naudotojų limito paiešką.

Dvi topologijos, du aritmetiniai modeliai, ir tik vienas jų atitinka prefiksą, kurį žmonės daro prielaidą.

net30 sunaudoja keturis adresus vienam klientui

net30 kiekvienam klientui skiria /30 bloką, nes kiekviena sesija modeliuojama kaip taškas-taškas jungtis su adresu abiejuose galuose. Į tą bloką patenka keturi adresai, o du yra naudojami, todėl efektyvus klientų skaičius yra ketvirtadalis potinklio. /24 atveju tai palieka 64 blokus, kol išeina paties serverio blokas ir bet kokie fiksuoti priskyrimai. Pranešama riba apie 63 yra aritmetika, kuri pasimato, o ne sukonfigūruotas maksimumas.

Serveriui taip pat reikia savo priskyrimo, o statiniai klientų įrašai užima blokus nepriklausomai nuo to, ar tie klientai prisijungia. Abu sumažina dinaminį diapazoną nekeičiant prefikso, nuo kurio pradėjote.

Telkinio ribos svarbesnės už prefiksą

Serverio direktyva gali apibrėžti telkinį, siauresnį už potinklį, kurį įvardija, o pagalbinis scenarijus gali išsiplėsti į papildomus nustatymus, kurių atidarytame profilyje nesimato. Fiksuoti adresai iš client-config katalogo yra tame diapazone ir negali būti išduoti du kartus. Prefiksas aprašo didžiausią įmanomą erdvę; efektyvus telkinys yra tai, ką veikianti konfigūracija iš tikrųjų siūlo.

Palyginkite abu prieš darydami kokią nors išvadą apie talpą, nes mažesnis sukonfigūruotas diapazonas paaiškina ribą taip pat gerai, kaip ir topologija.

Raskite limitą, kuris iš tikrųjų atsisakė kliento

Pirmiausia perskaitykite topologiją ir efektyvų telkinį, tada atsižvelkite į fiksuotus priskyrimus ir rezervuotus adresus. Prieš kaltindami adresų erdvę patikrinkite max-clients ir bet kokią priėmimo kontrolę už OpenVPN ribų. Galiausiai palyginkite paties serverio pranešimą atsisakymo momentu su tais kandidatais. Pranešimas įvardija apribojimą; skaičius tik susiaurina lauką.

Atsisakymas, kuris ateina su vienalaikiškumo klaida, ir atsisakymas, kuris ateina su priskyrimo klaida, turi skirtingus sprendimus, o spėliojimas tarp jų iššvaisto techninės priežiūros langą.

Topologijos keitimas keičia adresų planą

Perėjimas prie potinklio topologijos suteikia kiekvienam klientui vieną adresą vietoj bloko, ir tai yra teisingas žingsnis, kai prefikso tikrai per mažai. Tai taip pat keičia, ką reiškia kliento adreso parametrai, todėl kiekvienas pritvirtintas priskyrimas ir kiekvienas konkretaus kliento failas turi būti išvestas iš naujo, o ne pernumeruotas rankomis. Suplanuokite naują diapazoną, perkelkite statinius įrašus ir atnaujinkite maršrutus, kurie juos nurodo.

Perėjimas nėra senosios konfigūracijos sinonimas. Traktuokite jį kaip adresų plano pakeitimą su atskira peržiūra ir tikėkitės, kad bent vienas klientas išlaikys ankstesnės schemos adresą.

Telkinio dydį nustatykite pagal planą, o ne pagal kaukę

Pasirinkite dydį pagal vienu metu prisijungusių klientų skaičių ir papildomą rezervą atsijungimams bei testavimui, tada pasirinkite mažiausią prefiksą, kuris jį padengia pasirinktoje topologijoje. Išplėtimas iki /16, siekiant išspręsti šešiasdešimties klientų ribą, keičia talpos problemą į maršrutizavimo ir persidengimo problemą, nes didesnis privatus diapazonas labiau linkęs susidurti su tuo, ką klientas jau pasiekia.

Kartu dokumentuokite topologiją, telkinį, fiksuotus priskyrimus ir iš to kylančią klientų ribą. Tada kitas talpos klausimas bus aritmetika, o ne tyrimas.