OpenVPN servera palīgs: tīkls plus tīkla maska, nekad CIDR

Servera rinda, kas sajauc CIDR sufiksu ar punktotu masku, aptur dēmonu pirms tas vispār atver portu. IPv4 palīgs server vēlas divus atsevišķus argumentus: izlīdzinātu tīkla adresi un pēc tam tīkla masku punktotā formā. Viss pārējais šajā rindā ir pieņēmums, un tieši pieņēmumā adrešu kopas izmēri un klientu maskas aiziet greizi.

Divi argumenti, ko palīgs pieņem

Vispirms rakstiet tīklu un pēc tam masku, neko nepieliekot adresei:

server 10.72.16.0 255.255.240.0

Šī ir /20 forma. Rinda zemāk ir kļūda, un tā neizdodas opciju parsēšanā, nevis izpildes laikā:

server 10.72.16.0/20 255.255.240.0

Atkļūdojot šo, turiet abas idejas atsevišķi. Prefiksa garums un punktota maska apraksta to pašu diapazonu, bet palīgs nepieņem abus uzreiz, un noraidīta rinda rada opciju kļūdu, kas nosauc direktīvu, nevis aritmētiku.

Izlīdziniet tīklu pirms maskas ievadīšanas

Pirmā adrese ir diapazona tīkla adrese, nevis ērta klienta adrese tajā. /20 gadījumā diapazons iet no 10.72.16.0 līdz 10.72.31.255, un tikai pirmā no tām ir derīgs tīkla arguments. /21 izmanto 255.255.248.0 un aptver no 10.72.16.0 līdz 10.72.23.255, tāpēc tās rinda ir server 10.72.16.0 255.255.248.0.

Prefiksa maiņa maina diapazonu un neko citu. Tā nemaina to, cik adrešu saņem viens klients, jo tā ir topoloģijas īpašība, nevis šīs rindas maskas īpašība.

Apstipriniet kopu no servera puses

Palaidiet instanci priekšplānā ar detalizētu žurnālu un lasiet rindas, ko izvada palīgs. Kopa, ko tas izveidoja, tiek izdrukāta palaišanas laikā, kas ir ticamāk nekā aritmētikas aprēķināšana ar roku:

openvpn --config /etc/openvpn/server.conf --verb 4 --dev tun9 --port 1195

Meklējiet kopas kopsavilkumu netālu no izvades augšdaļas. Tajā uzskaitīts diapazons, ko palīgs rezervēja, un, ja šis diapazons neatbilst jūsu nodomam, rindas argumenti ir nepareizi, lai ko teiktu maskas aritmētika.

Pēc tam pievienojiet vienu klientu un atrodiet rindu, kas ieraksta tam piešķirto adresi. Šī vienīgā adrese blakus kopas diapazonam pateiks, vai klients nokļuva rezervētajā blokā vai kaut kur, kur negaidījāt. Ja abi nesakrīt, labojiet argumentus, nevis klientu. Ja tie sakrīt un klients joprojām neko nesasniedz, kopa nekad nav bijusi problēma.

Lasiet klienta masku, paturot prātā topoloģiju

Klients, kas rāda /30 savā tuneļa saskarnē, nav bojātas kopas pierādījums. Punkts-punktam adresācijā katrs klients saņem nelielu bloku, un viņa saskarnes maska apraksta šo bloku, kamēr servera kopa aptver kopumu. Apakštīkla topoloģijā klienta maska tā vietā sakrīt ar kopas masku. Tāpēc maska vien pati pasaka, kura topoloģija ir spēkā, nevis to, vai kopa ir uzrakstīta pareizi.

Pirms secinājuma izdarīšanas kopā pārbaudiet konfigurēto topoloģiju un piešķirto adresi:

ip -4 addr show tun0

Ja adrese atrodas kopas iekšpusē un maska ir šaurāka par kopu, tad topoloģija dara savu darbu. Ja adrese ir ārpus kopas, kopa ir nepareiza, un nekāda klienta puses pārbaude to nelabos.

Darbojošās kopas maiņa

Izvēlieties diapazonu, kas nepārklājas ar pašreizējo kopu, LAN vai jebkuru maršrutu, kas jau nosūtīts klientiem. Pārklāšanās ir kļūme, kas pārdzīvo restartu un pēc tam pēc dažām dienām parādās kā viena vieta, kas nav sasniedzama no viena virziena.

Mainiet rindu, restartējiet un vēlreiz izlasiet starta kopu, pirms ļaujat lietotājiem atgriezties. Ja jaunais diapazons ar kaut ko saduras, tā pati starta izvade to parāda uzreiz, un atgriešanās ir vienas rindas labojums un vēl viens restarts.

Pēc izmaiņām kādu laiku turiet veco diapazonu rezervētu. Klienti, kas pieslēdzas vēlu, joprojām var turēt adresi no iepriekšējās kopas, un jauns diapazons, kas atkārtoti izmanto šīs adreses, rada dubultus piešķīrumus, kas izskatās kā maršrutēšanas kļūme. OpenVPN 2.6 rokasgrāmata dokumentē palīga argumentus un tā paplašinājumu, ko ir vērts izlasīt pirms pieņēmuma, ka direktīva izmanto tādu pašu apzīmējumu kā tās kaimiņš.