Un interval nu este o rută: transformă 200-255 în trei prefixe

Regulile firewall-ului acceptă o primă și o ultimă adresă, cum ar fi 192.168.0.200 până la 192.168.0.255, dar rutele nu. O intrare de rută are loc doar pentru o rețea și o mască, ceea ce înseamnă că un interval continuu trebuie să devină unul sau mai multe prefixe aliniate înainte ca OpenVPN să îl instaleze. Un profil care împerechează route-nopull cu un interval nealiniat este locul unde eșecul se ascunde de obicei, pentru că fișierul se parsează și nicio rută nu se potrivește. Corectează blocurile și eșecul devine vizibil într-o singură comandă.

Mitul: un interval este o rută

Tabelele de rutare stochează perechi de rețea și mască și aleg cea mai lungă potrivire, așa că un interval cu început și sfârșit nu are unde să locuiască. Un prefix care acoperă 256 de adrese acoperă .0 până la .255, jumătate din acea dimensiune acoperă .0 până la .127, și doar un interval aliniat la acele margini se mapează într-un singur pas. Orice altceva trebuie tăiat în blocuri. O rută mai mică înseamnă tot intervalul original.

Un interval care nu este aliniat la prefix nu este o rută comprimată. Este un alt tip de obiect, iar tratarea lui ca rută este locul unde începe eșecul silențios.

Alinierea este aritmetică, nu stil

Dimensiunile blocurilor sunt stabilite de lungimea prefixului. Un /29 poate începe doar la o adresă divizibilă cu 8, un /28 la una divizibilă cu 16, un /27 la una divizibilă cu 32. Mută un bloc de la granița lui și masca va acoperi un alt set de adrese decât cel intenționat.

Adună de la capătul inferior. La fiecare pas ia cel mai mare bloc aliniat care nu depășește sfârșitul intervalului, apoi continuă la prima adresă după el. Blocurile nu se pot suprapune, pentru că fiecare începe unde s-a oprit precedentul.

Două persoane care fac asta manual ar trebui să ajungă la același rezultat. O nepotrivire înseamnă că cineva a permis un început care nu era aliniat.

Parcurge 200 până la 255

Intervalul începe la .200, care este multiplu de 8, deci primul bloc este un /29 de la .200 la .207. După aceste opt adrese prima valoare liberă este .208, care se împarte la 16, deci un /28 ia .208 până la .223. Ce rămâne este .224 până la .255, treizeci și două de adrese care încep pe un multiplu de 32, deci un /27. Acele trei rânduri sunt întreaga descompunere.

Scrie-le ca linii de rută în loc de proză. Un profil care are doar prima linie acoperă opt adrese și lasă restul în afara tunelului.

route-nopull
route 192.168.0.200 255.255.255.248
route 192.168.0.208 255.255.255.240
route 192.168.0.224 255.255.255.224

Ultimul bloc are nevoie de o verificare a graniței. În interiorul 192.168.0.224/27, .224 este adresa de rețea și .255 este adresa de difuzare, deci un gazdă care trebuie să răspundă pe .255 este acoperit de prefix și rămâne inaccesibil. Mută acea gazdă sau împarte intervalul altfel în loc să rutezi blocul și să speri.

Ce face route-nopull imaginii

Adaugă route-nopull doar când rutele împinse de server nu sunt dorite. Fără directivă, rutele împinse și aceste linii coexistă, și câștigă prefixul cel mai specific. Cu ea, opțiunile DNS și DHCP împinse dispar și ele, așa că rezolvarea internă a numelor are nevoie de propria configurație. Acest efect secundar îi surprinde pe cei care au adăugat directiva pentru a repara o problemă de rută.

Adaugă-o din motivul corect, nu ca reflex automat. Scoaterea rutelor împinse este o decizie de politică cu o consecință pentru DNS. Dacă serverul poate împinge aceleași trei prefixe, lasă-l, și șterge copiile din partea clientului ca un singur proprietar să controleze lista.

Verificări care prind greșelile obișnuite

Verifică faptul că fiecare mască este un șir continuu de unu. Valoarea 255.255.255.248 trece și 255.255.255.200 eșuează, iar o mască care nu este continuă este respinsă sau citită greșit. Apoi confirmă calea pentru o adresă din fiecare bloc.

ip route get 192.168.0.205
ip route get 192.168.0.220
ip route get 192.168.0.240

Fiecare răspuns ar trebui să numească interfața tunelului. Un rezultat care numește adaptorul fizic înseamnă că linia nu a fost niciodată instalată, ceea ce se întâmplă des când managerul de rețea al desktopului rescrie tabelul după ce profilul se conectează.

Alege un singur proprietar pentru listă. Când serverul poate împinge aceleași prefixe, împinge-le și elimină modificările din partea clientului. Un singur proprietar înseamnă că o greșeală de tastare are un singur loc, iar clientul și serverul nu pot fi în dezacord cu privire la ce adrese stau în tunel.