OpenVPN serverio pagalbininkas: tinklas ir tinklo kaukė, niekada CIDR

Serverio eilutė, kuri maišo CIDR priesagą su taškine kauke, sustabdo demoną dar prieš jam atidarant bet kokį prievadą. IPv4 pagalbininkas server nori dviejų atskirų argumentų: sulygiuoto tinklo adreso, o po to tinklo kaukės taškine forma. Visa kita toje eilutėje yra spėjimas, o būtent spėjime telkinio dydžiai ir klientų kaukės nueina ne taip.

Du argumentai, kuriuos priima pagalbininkas

Pirmiausia rašykite tinklą, o paskui kaukę, nieko neprijungę prie adreso:

server 10.72.16.0 255.255.240.0

Tai /20 forma. Žemiau esanti eilutė yra klaida, ir ji nepavyksta analizuojant parinktis, o ne vykdymo metu:

server 10.72.16.0/20 255.255.240.0

Derindami tai, laikykite dvi idėjas atskirai. Prefikso ilgis ir taškinė kaukė apibūdina tą patį diapazoną, bet pagalbininkas nepriima abiejų iš karto, o atmesta eilutė sukuria parinkčių klaidą, kuri įvardija direktyvą, o ne aritmetiką.

Sulygiuokite tinklą prieš įvesdami kaukę

Pirmasis adresas yra diapazono tinklo adresas, o ne patogus kliento adresas jame. /20 atveju diapazonas eina nuo 10.72.16.0 iki 10.72.31.255, ir tik pirmasis iš jų yra galiojantis tinklo argumentas. /21 naudoja 255.255.248.0 ir apima nuo 10.72.16.0 iki 10.72.23.255, todėl jo eilutė yra server 10.72.16.0 255.255.248.0.

Prefikso keitimas keičia diapazoną ir nieko daugiau. Jis nekeičia, kiek adresų gauna vienas klientas, nes tai yra topologijos savybė, o ne šios eilutės kaukės.

Patvirtinkite telkinį iš serverio pusės

Paleiskite egzempliorių priekiniame plane su išsamiu žurnalu ir skaitykite eilutes, kurias išveda pagalbininkas. Telkinys, kurį jis sukūrė, išspausdinamas paleidžiant, o tai patikimiau nei skaičiuoti aritmetiką ranka:

openvpn --config /etc/openvpn/server.conf --verb 4 --dev tun9 --port 1195

Ieškokite telkinio suvestinės netoli išvesties viršaus. Joje išvardijamas diapazonas, kurį pagalbininkas rezervavo, ir jei tas diapazonas neatitinka jūsų ketinimo, eilutės argumentai yra neteisingi, kad ir ką sakytų kaukės aritmetika.

Tada prijunkite vieną klientą ir suraskite eilutę, kuri įrašo jam suteiktą adresą. Tas vienas adresas, šalia telkinio diapazono, pasako, ar klientas atsidūrė rezervuotame bloke, ar kur nors, ko nesitikėjote. Jei abu nesutampa, taisykite argumentus, o ne klientą. Jei jie sutampa ir klientas vis tiek nieko nepasiekia, telkinys niekada nebuvo problema.

Skaitykite kliento kaukę turėdami omenyje topologiją

Klientas, rodantis /30 savo tunelio sąsajoje, nėra sugadinto telkinio įrodymas. Taškas-taškas adresavimo atveju kiekvienas klientas gauna mažą bloką, o jo sąsajos kaukė apibūdina tą bloką, tuo tarpu serverio telkinys apima visumą. Potinklio topologijos atveju kliento kaukė vietoj to sutampa su telkinio kauke. Taigi vien kaukė pasako, kuri topologija naudojama, o ne ar telkinys parašytas teisingai.

Prieš darydami išvadą, kartu patikrinkite sukonfigūruotą topologiją ir priskirtą adresą:

ip -4 addr show tun0

Jei adresas yra telkinio viduje ir kaukė siauresnė už telkinį, tai topologija atlieka savo darbą. Jei adresas yra už telkinio ribų, telkinys neteisingas, ir jokia kliento pusės patikra to nepataisys.

Veikiančio telkinio keitimas

Pasirinkite diapazoną, kuris nesutampa su dabartiniu telkiniu, LAN ar bet kokiu maršrutu, jau nusiųstu klientams. Persidengimas yra gedimas, kuris išgyvena perkrovimą ir po kelių dienų pasirodo kaip viena vietovė, nepasiekiama iš vienos krypties.

Pakeiskite eilutę, paleiskite iš naujo ir dar kartą perskaitykite paleidimo telkinį, prieš leisdami vartotojams grįžti. Jei naujas diapazonas su kuo nors susiduria, ta pati paleidimo išvestis tai parodo iš karto, o grįžimas atgal yra vienos eilutės pakeitimas ir dar vienas paleidimas iš naujo.

Palikite seną diapazoną rezervuotą kurį laiką po pakeitimo. Vėlai prisijungiantys klientai vis dar gali turėti adresą iš ankstesnio telkinio, o naujas diapazonas, kuris pakartotinai naudoja tuos adresus, sukuria dvigubus priskyrimus, atrodančius kaip maršruto gedimas. OpenVPN 2.6 vadove aprašomi pagalbininko argumentai ir jo išplėtimas, ką verta perskaityti prieš darant prielaidą, kad direktyva naudoja tą pačią notaciją kaip jos kaimynė.