Prečo /24 OpenVPN dôjde s klientmi skôr, než čakáte

Pooly postavené na /24, ktoré prestanú prijímať klientov okolo šesťdesiatky, sa správajú podľa návrhu, nie narážajú na licenčný limit. Pri net30 každý klient dostane virtuálne spojenie bod-bod, ktoré spotrebuje štyri adresy, takže podsieti s 256 adresami podporí približne štvrtinu toho, čo naznačuje prefix. Dôležité číslo sú alokácie, nie adresy. Čítať prefix ako počet klientov je chyba, ktorá vedie k hľadaniu skrytého limitu používateľov.

Dve topológie, dva aritmetické modely a iba jeden z nich zodpovedá prefixu, ktorý ľudia predpokladajú.

net30 spotrebuje štyri adresy na klienta

net30 pridelí blok /30 na klienta, pretože každá relácia sa modeluje ako spojenie bod-bod s adresou na každom konci. Do toho bloku idú štyri adresy a dve sú použiteľné, preto je efektívny počet klientov štvrtina podsiete. Na /24 to nechá 64 blokov, kým vyjdú vlastný blok servera a akékoľvek pevné pridelenia. Hlásený strop okolo 63 je aritmetika, ktorá sa prejaví, nie nakonfigurované maximum.

Server tiež potrebuje vlastnú alokáciu a statické záznamy klientov spotrebúvajú bloky bez ohľadu na to, či sa tí klienti pripájajú. Oboje zmenšuje dynamický rozsah bez zmeny prefixu, s ktorým ste začali.

Hranice poolu sú dôležitejšie ako prefix

Serverová direktíva môže definovať pool užší ako podsieť, ktorú pomenúva, a pomocný skript sa môže rozrásť do ďalších nastavení, ktoré v otvorenom profile nie sú viditeľné. Pevné adresy z adresára client-config sedia v tomto rozsahu a nemôžu byť vydané dvakrát. Prefix opisuje maximálny možný priestor; efektívny pool je to, čo bežiaca konfigurácia skutočne ponúka.

Porovnajte oba, skôr než urobíte akýkoľvek záver o kapacite, pretože menší nakonfigurovaný rozsah vysvetľuje strop rovnako dobre ako topológia.

Nájdite limit, ktorý klientovi skutočne odmietol

Najprv si prečítajte topológiu a efektívny pool, potom zoberte do úvahy pevné pridelenia a rezervované adresy. Skôr než obviníte adresný priestor, skontrolujte max-clients a akúkoľvek kontrolu prijímania mimo OpenVPN. Nakoniec porovnajte vlastnú správu servera v momente odmietnutia s tými kandidátmi. Správa pomenúva obmedzenie; počet iba zužuje pole.

Odmietnutie s chybou súbežnosti a odmietnutie s chybou alokácie majú rôzne opravy a hádanie medzi nimi plytvá oknom údržby.

Zmena topológie mení plán adries

Prechod na topológiu podsiete dá každému klientovi jednu adresu namiesto bloku, čo je správny krok, keď je prefix naozaj primalý. Mení aj to, čo znamenajú parametre adresy klienta, takže každé pripnuté pridelenie a každý súbor špecifický pre klienta treba odvodiť nanovo, nie prečíslovať ručne. Naplánujte nový rozsah, migrujte statické záznamy a aktualizujte trasy, ktoré sa na ne odkazujú.

Prechod nie je synonymom starej konfigurácie. Berte ho ako zmenu plánu adries s vlastným preskúmaním a očakávajte, že aspoň jeden klient si ponechá adresu z predchádzajúcej schémy.

Rozmer poolu určte z plánu, nie z masky

Veľkosť vyberte podľa počtu súčasných klientov plus priestoru na opätovné pripojenia a testovanie, potom vyberte najmenší prefix, ktorý to v zvolenej topológii pokryje. Rozšírenie na /16 na vyriešenie stropu šesťdesiatich klientov vymení problém kapacity za problém smerovania a prekrytia, pretože väčší súkromný rozsah ľahšie koliduje s niečím, čo klient už dosahuje.

Zdokumentujte spolu topológiu, pool, pevné pridelenia a výsledný strop klientov. Ďalšia otázka kapacity sa potom stane aritmetikou namiesto vyšetrovania.