Опсегот не е маршрута: претворете ги 200-255 во три префикси

Правилата на огнениот ѕид примаат прва и последна адреса, како 192.168.0.200 до 192.168.0.255, а маршрутите не. Записот за маршрута има место само за мрежа и маска, што значи дека непрекинатиот опсег мора да стане еден или повеќе порамнети префикси, пред OpenVPN да го инсталира. Профилот што го спарува route-nopull со непорамнет интервал е местото каде што грешката обично се крие, бидејќи датотеката се парсира и ниту една маршрута не се совпаѓа. Средете ги блоковите и грешката ќе стане видлива со една команда.

Мит: опсегот е маршрута

Табелите за рутирање чуваат парови мрежа и маска и го избираат најдолгото совпаѓање, па интервалот со почеток и крај нема каде да живее. Еден префикс што опфаќа 256 адреси покрива .0 до .255, половината од таа големина покрива .0 до .127, и само опсег порамнет на тие рабови се мапира во еден чекор. Сѐ друго мора да се исече на блокови. Помала маршрута сѐ уште значи првобитниот интервал.

Опсег што не е порамнет на префикс не е компресирана маршрута. Тоа е друг вид објект, и третирањето како маршрута е местото каде што започнува тивката грешка.

Порамнувањето е аритметика, не стил

Големините на блоковите ги одредува должината на префиксот. /29 може да започне само на адреса делива со 8, /28 на делива со 16, /27 на делива со 32. Поместете блок од неговата граница и маската ќе покрие различно множество адреси од предвиденото.

Собирајте од долниот крај. Во секој чекор земете го најголемиот порамнет блок што не го поминува крајот на опсегот, потоа продолжете на првата адреса по него. Блоковите не можат да се преклопуваат, бидејќи секој започнува таму каде што застанал претходниот.

Две лица што го прават ова рачно треба да дојдат до истиот резултат. Несогласувањето значи дека некој дозволил непорамнет почеток.

Поминете 200 до 255

Опсегот започнува на .200, што е множител на 8, па првиот блок е /29 од .200 до .207. По тие осум адреси првата слободна вредност е .208, која се дели со 16, па /28 зафаќа .208 до .223. Останува .224 до .255, триесет и две адреси што започнуваат на множител на 32, значи /27. Тие три реда се целото разложување.

Запишете ги како линии на маршрута, а не како проза. Профил што ја држи само првата линија покрива осум адреси и го остава остатокот надвор од тунелот.

route-nopull
route 192.168.0.200 255.255.255.248
route 192.168.0.208 255.255.255.240
route 192.168.0.224 255.255.255.224

Последниот блок бара проверка на границата. Внатре во 192.168.0.224/27 .224 е мрежната адреса, а .255 е адресата за broadcast, па домаќинот што мора да одговори на .255 е покриен од префиксот и сѐ уште е недостапен. Преместете го тој домаќин или поделете го опсегот поинаку, наместо да го рутирате блокот и да се надевате.

Што прави route-nopull со сликата

Додајте route-nopull само кога маршрутите што ги турка серверот не се сакани. Без директивата, турканите маршрути и овие линии постојат заедно, и најспецифичниот префикс победува. Со неа исчезнуваат и турканите DNS и DHCP опции, па внатрешното разрешување на имиња бара своја конфигурација. Овој несакан ефект ги изненадува оние што ја додале директивата за да поправат проблем со маршрута.

Додајте ја од вистинската причина, а не како автоматски рефлекс. Отстранувањето на турканите маршрути е политичка одлука со DNS последица. Ако серверот може да ги турка истите три префикси, дозволете, и избришете ги копиите на клиентската страна за да еден сопственик ја контролира листата.

Проверки што ги фаќаат вообичаените грешки

Проверете дека секоја маска е еден непрекинат ред од единици. Вредноста 255.255.255.248 поминува, а 255.255.255.200 не поминува, и маска што не е непрекината се одбива или се чита погрешно. Потоа потврдете ја патеката за една адреса во секој блок.

ip route get 192.168.0.205
ip route get 192.168.0.220
ip route get 192.168.0.240

Секој одговор треба да го именува интерфејсот на тунелот. Резултат што го именува физичкиот адаптер значи дека линијата никогаш не била инсталирана, што често се случува кога менаџерот за мрежа на работната површина ја препишува табелата откако профилот ќе се поврзе.

Изберете еден сопственик за листата. Кога серверот може да ги турка истите префикси, туркајте ги и отстранете ги промените на клиентската страна. Еден сопственик значи дека печатарската грешка има едно место, и клиентот и серверот не можат да се разидат за тоа кои адреси се внатре во тунелот.