Зашто OpenVPN /24 остаје без клијената брже него што очекујете

Pool-ови направљени на /24 који престају да примају клијенте око шездесет понашају се како је пројектовано, а не ударају у лиценцни лимит. У net30 сваки клијент добија виртуелну везу тачка-на-тачку која троши четири адресе, па подмрежа од 256 адреса подржава око четвртине онога што префикс сугерише. Број који је битан су алокације, а не адресе. Читање префикса као броја клијената је грешка која доводи до тражења скривеног лимита корисника.

Две топологије, два аритметичка модела, и само један од њих одговара префиксу који људи претпостављају.

net30 троши четири адресе по клијенту

net30 додељује блок /30 по клијенту, јер се свака сесија моделује као веза тачка-на-тачку са адресом на сваком крају. У тај блок улазе четири адресе, а две су употребљиве, због чега је ефективни број клијената четвртина подмреже. На /24 то оставља 64 блока пре него што изађу сопствени блок сервера и сва фиксна додељивања. Пријављени плафон око 63 је аритметика која се покаже, а не конфигурисани максимум.

Серверу је такође потребна сопствена алокација, а статички уноси клијената троше блокове без обзира на то да ли се ти клијенти повезују. Обоје смањује динамички опсег без промене префикса са којим сте почели.

Границе pool-а су важније од префикса

Серверска директива може да дефинише pool ужи од подмреже коју именује, а помоћна скрипта може да се прошири на додатна подешавања која нису видљива у профилу који сте отворили. Фиксне адресе из client-config директоријума стоје унутар тог опсега и не могу бити издате двапут. Префикс описује највећи могући простор; ефективни pool је оно што покренута конфигурација заиста нуди.

Упоредите оба пре него што закључите било шта о капацитету, јер мањи конфигурисани опсег објашњава плафон исто тако добро као и топологија.

Пронађите лимит који је заиста одбио клијента

Прво прочитајте топологију и ефективни pool, а затим узмите у обзир фиксна додељивања и резервисане адресе. Пре него што окривите адресни простор, проверите max-clients и било коју контролу пријема ван OpenVPN-а. На крају, упоредите сопствену поруку сервера у тренутку одбијања са тим кандидатима. Порука именује ограничење; број само сужава поље.

Одбијање које долази са грешком истовремености и одбијање које долази са грешком алокације имају различите поправке, а нагађање између њих траћи прозор за одржавање.

Промена топологије мења план адреса

Прелазак на подмрежну топологију даје сваком клијенту једну адресу уместо блока, што је прави потез када је префикс заиста премали. То мења и шта значе параметри адресе клијента, па свако приковано додељивање и сваки фајл специфичан за клијента мора бити изведен изнова, а не пренумерисан ручно. Планирајте нови опсег, мигрирајте статичке уносе и ажурирајте руте које се на њих позивају.

Прелазак није синоним за стару конфигурацију. Третирајте га као промену плана адреса са сопственим прегледом и очекујте да ће барем један клијент задржати адресу из претходне шеме.

Димензионишите pool из плана, а не из маске

Изаберите величину према броју истовремених клијената плус простор за поновна повезивања и тестирање, па изаберите најмањи префикс који то покрива у изабраној топологији. Проширење на /16 да би се решио плафон од шездесет клијената мења проблем капацитета за проблем рутирања и преклапања, јер већи приватни опсег вероватније колидира са нечим до чега клијент већ долази.

Документујте заједно топологију, pool, фиксна додељивања и добијени плафон клијената. Следеће питање капацитета тада постаје аритметика уместо истраге.