Rozsah nie je trasa: premeňte 200-255 na tri prefixy
Riadok trasy berie sieť a masku, nikdy začiatočnú a koncovú adresu. Zosúčtujte rozsah do zarovnaných prefixov, kým ho OpenVPN nainštaluje.
Pravidlá firewallu prijímajú prvú a poslednú adresu, napríklad od 192.168.0.200 do 192.168.0.255, zatiaľ čo trasy nie. Záznam trasy má miesto len pre sieť a masku, čo znamená, že súvislý rozsah sa musí stať jedným alebo viacerými zarovnanými prefixmi, kým OpenVPN ho nainštaluje. Profil, ktorý spája route-nopull s nezarovnaným intervalom, je miesto, kde sa porucha zvyčajne skrýva, pretože súbor sa parsuje a žiadna trasa nezodpovedá. Opravte bloky a porucha bude viditeľná jediným príkazom.
Mýtus: rozsah je trasa
Smerovacie tabuľky ukladajú dvojice siete a masky a vyberajú najdlhšiu zhodu, takže interval so začiatkom a koncom nemá kde žiť. Jeden prefix pokrývajúci 256 adries pokrýva .0 až .255, polovica tejto veľkosti pokrýva .0 až .127, a len rozsah zarovnaný na tieto hrany sa zmapuje v jednom kroku. Všetko ostatné treba rozrezať na bloky. Menšia trasa stále znamená pôvodný interval.
Rozsah, ktorý nie je zarovnaný na prefix, nie je komprimovaná trasa. Je to iný druh objektu a zaobchádzanie s ním ako s trasou je miesto, kde sa začína tichá porucha.
Zarovnanie je aritmetika, nie štýl
Veľkosti blokov určuje dĺžka prefixu. /29 môže začínať len na adrese deliteľnej 8, /28 na deliteľnej 16, /27 na deliteľnej 32. Posuňte blok z jeho hranice a maska pokryje inú množinu adries, než ste zamýšľali.
Sčítavajte od spodného konca. V každom kroku vezmite najväčší zarovnaný blok, ktorý neprekročí koniec rozsahu, a pokračujte na prvej adrese za ním. Bloky sa nemôžu prekrývať, pretože každý začína tam, kde predchádzajúci skončil.
Dvaja ľudia, ktorí to robia ručne, by mali dospieť k rovnakému výsledku. Nezhoda znamená, že niekto povolil nezarovnaný začiatok.
Prejdite 200 až 255
| Step | Start | Block that fits | Line for the profile |
|---|---|---|---|
| 1 | .200, multiple of 8 | /29, 8 addresses | 192.168.0.200 255.255.255.248 |
| 2 | .208, multiple of 16 | /28, 16 addresses | 192.168.0.208 255.255.255.240 |
| 3 | .224, multiple of 32 | /27, 32 addresses | 192.168.0.224 255.255.255.224 |
Rozsah začína na .200, čo je násobok 8, takže prvý blok je /29 od .200 do .207. Po týchto ôsmich adresách je prvá voľná hodnota .208, ktorá je deliteľná 16, takže /28 zaberá .208 až .223. Zostáva .224 až .255, tridsaťdva adries začínajúcich na násobku 32, teda /27. Tie tri riadky sú celý rozklad.
Zapíšte ich ako riadky trasy, nie ako prózu. Profil, ktorý drží len prvý riadok, pokrýva osem adries a zvyšok necháva mimo tunela.
route-nopull
route 192.168.0.200 255.255.255.248
route 192.168.0.208 255.255.255.240
route 192.168.0.224 255.255.255.224Posledný blok potrebuje kontrolu hranice. Vnútri 192.168.0.224/27 je .224 sieťová adresa a .255 je broadcastová adresa, takže hostiteľ, ktorý musí odpovedať na .255, je prefixom pokrytý a napriek tomu nedostupný. Presuňte tohto hostiteľa alebo rozdeľte rozsah inak, namiesto toho aby ste blok smerovali a dúfali.
Čo route-nopull robí s obrázkom
Pridávajte route-nopull len vtedy, keď sú trasy presadzované serverom nežiaduce. Bez direktívy presadené trasy a tieto riadky koexistujú a vyhráva najkonkrétnejší prefix. S ňou miznú aj presadené voľby DNS a DHCP, takže interný preklad mien potrebuje vlastnú konfiguráciu. Tento vedľajší účinok prekvapuje ľudí, ktorí direktívu pridali, aby opravili problém s trasou.
Pridajte ju zo správneho dôvodu, nie ako automatický reflex. Odstraňovanie presadených trás je politické rozhodnutie s dôsledkom pre DNS. Ak server môže presadzovať tie isté tri prefixy, nechajte ho, a zmažte kópie na strane klienta, aby zoznam riadil jeden vlastník.
Kontroly, ktoré zachytia obvyklé chyby
Skontrolujte, že každá maska je jeden súvislý sled jednotiek. Hodnota 255.255.255.248 prejde a 255.255.255.200 neprejde, a maska, ktorá nie je súvislá, je odmietnutá alebo nesprávne prečítaná. Potom potvrďte cestu pre jednu adresu v každom bloku.
ip route get 192.168.0.205
ip route get 192.168.0.220
ip route get 192.168.0.240Každá odpoveď by mala pomenovať tunelové rozhranie. Výsledok, ktorý pomenuje fyzický adaptér, znamená, že riadok nebol nikdy nainštalovaný, čo sa často stáva, keď desktopový správca siete prepíše tabuľku po pripojení profilu.
Zvoľte jedného vlastníka zoznamu. Keď server môže presadzovať tie isté prefixy, presaďte ich a odstráňte úpravy na strane klienta. Jeden vlastník znamená, že preklep má jedno miesto, a klient a server sa nemôžu rozísť v tom, ktoré adresy sú vnútri tunela.