Helper ng server ng OpenVPN: network at netmask, hindi kailanman CIDR

Ang linyang server na naghahalo ng CIDR na suffix sa tuldok na mask ay hinihinto ang daemon bago pa ito magbukas ng port. Ang helper server para sa IPv4 ay gustong ng dalawang hiwalay na argumento: isang naka-align na network address, pagkatapos ang netmask sa tuldok na anyo. Lahat ng iba sa linyang iyon ay haka-haka, at sa haka-haka nagkakamali ang laki ng pool at mask ng mga kliyente.

Ang dalawang argumento na tinatanggap ng helper

Isulat muna ang network at pagkatapos ang mask, na walang nakakabit sa address:

server 10.72.16.0 255.255.240.0

Ito ang anyo para sa /20. Ang linya sa ibaba ang pagkakamali, at nabigo ito sa pag-parse ng mga opsyon, hindi sa pagtakbo:

server 10.72.16.0/20 255.255.240.0

Panatilihing hiwalay ang dalawang ideya kapag ini-debug ito. Ang haba ng prefix at tuldok na mask ay naglalarawan ng parehong sakop, ngunit hindi tinatanggap ng helper ang dalawa nang sabay, at ang tinanggihang linya ay gumagawa ng error sa opsyon na pinangalanan ang direktiba, hindi ang aritmetika.

I-align ang network bago mo i-type ang mask

Ang unang address ay ang network address ng sakop, hindi isang maginhawang client address sa loob nito. Para sa /20 ang sakop ay mula 10.72.16.0 hanggang 10.72.31.255, at ang una lamang sa mga ito ang wastong argumento ng network. Ang /21 ay gumagamit ng 255.255.248.0 at sumasaklaw mula 10.72.16.0 hanggang 10.72.23.255, kaya ang linya nito ay server 10.72.16.0 255.255.248.0.

Ang pagbabago ng prefix ay nagbabago ng sakop at wala nang iba. Hindi nito binabago kung ilang address ang natatanggap ng isang kliyente, dahil ito ay katangian ng topolohiya, hindi ng mask sa linyang ito.

Kumpirmahin ang pool mula sa panig ng server

Simulan ang instance sa harapan na may detalyadong logging at basahin ang mga linyang inilalabas ng helper. Ang pool na itinayo nito ay nakalimbag sa pagsisimula, na mas mapagkakatiwalaan kaysa sa manu-manong pagkalkula ng aritmetika:

openvpn --config /etc/openvpn/server.conf --verb 4 --dev tun9 --port 1195

Hanapin ang buod ng pool malapit sa itaas ng output. Inililista nito ang sakop na inilaan ng helper, at kung ang sakop na iyon ay hindi tumutugma sa iyong layunin, mali ang mga argumento sa linya, anuman ang sabihin ng aritmetika ng mask.

Pagkatapos ay ikonekta ang isang kliyente at hanapin ang linyang nagtatala ng address na ibinigay dito. Ang nag-iisang address na iyon, sa tabi ng sakop ng pool, ay nagsasabi kung ang kliyente ay dumaong sa loob ng nakalaang bloke o sa isang lugar na hindi mo inaasahan. Kung hindi magkatugma ang dalawa, ayusin ang mga argumento at hindi ang kliyente. Kung magkatugma at wala pa ring naaabot ang kliyente, hindi kailanman ang pool ang problema.

Basahin ang mask ng kliyente na isinasaalang-alang ang topolohiya

Ang kliyenteng nagpapakita ng /30 sa interface ng tunnel nito ay hindi patunay ng sirang pool. Sa point-to-point na pagtugon ng address, bawat kliyente ay tumatanggap ng maliit na bloke at inilalarawan ng mask ng interface nito ang blokeng iyon, habang ang pool ng server ay sumasaklaw sa kabuuan. Sa topolohiya ng subnet, ang mask ng kliyente ay tumutugma sa mask ng pool sa halip. Kaya ang mask lamang ang nagsasabi kung aling topolohiya ang gumagana, hindi kung tama ang pagkakasulat ng pool.

Suriin nang sabay ang naka-configure na topolohiya at ang itinalagang address bago maghinuha:

ip -4 addr show tun0

Kung ang address ay nasa loob ng pool at ang mask ay mas makitid kaysa sa pool, iyon ang topolohiyang gumagawa ng trabaho nito. Kung ang address ay nasa labas ng pool, mali ang pool, at walang inspeksyon sa panig ng kliyente ang makakapag-ayos nito.

Pagbabago ng gumaganang pool

Pumili ng sakop na hindi nagsasapawan sa kasalukuyang pool, sa LAN, o sa anumang rutang naipadala na sa mga kliyente. Ang pagsasapawan ang kabiguan na nakakaligtas sa restart at pagkatapos, ilang araw mamaya, lumilitaw bilang isang site na hindi maabot mula sa isang direksyon.

Baguhin ang linya, i-restart at basahin muli ang startup pool bago payagan ang mga user na bumalik. Kung ang bagong sakop ay bumangga sa isang bagay, ang parehong startup output ay agad na nagpapakita nito, at ang pag-rollback ay isang pag-edit ng isang linya at isa pang restart.

Panatilihing nakalaan ang lumang sakop nang ilang sandali pagkatapos ng pagbabago. Ang mga kliyenteng huli kumonekta ay maaari pa ring humawak ng address mula sa dating pool, at ang bagong sakop na gumagamit muli ng mga address na iyon ay gumagawa ng dobleng pagtatalaga na mukhang sira sa routing. Dinodokumento ng manwal ng OpenVPN 2.6 ang mga argumento ng helper at ang pagpapalawak nito, na sulit basahin bago ipagpalagay na ang isang direktiba ay gumagamit ng parehong notasyon gaya ng kapitbahay nito.