Чому /24 в OpenVPN закінчується клієнтами раніше, ніж ви очікуєте

Пули на /24, які перестають приймати клієнтів близько шістдесяти, поводяться так, як задумано, а не впираються в ліцензійну межу. За net30 кожному клієнту видається віртуальне з'єднання «точка-точка», яке витрачає чотири адреси, тому підмережа з 256 адрес підтримує приблизно чверть того, що припускає префікс. Важливе число — це виділення, а не адреси. Читання префікса як кількості клієнтів — та помилка, через яку шукають приховану межу користувачів.

Дві топології, дві арифметичні моделі, і лише одна з них відповідає префіксу, який зазвичай припускають.

net30 витрачає чотири адреси на клієнта

net30 виділяє блок /30 на клієнта, бо кожен сеанс моделюється як з'єднання «точка-точка» з адресою на кожному кінці. У цей блок входять чотири адреси, а дві придатні до використання, тому ефективна кількість клієнтів — чверть підмережі. На /24 це залишає 64 блоки, перш ніж вийдуть власний блок сервера і будь-які фіксовані призначення. Повідомлювана стеля близько 63 — це арифметика, яка проявляється, а не налаштований максимум.

Серверу теж потрібне власне виділення, а статичні записи клієнтів витрачають блоки незалежно від того, чи ці клієнти підключаються. І те, і те зменшує динамічний діапазон, не змінюючи префікс, з якого ви почали.

Межі пулу важливіші за префікс

Директива сервера може задати пул вужчий за підмережу, яку вона називає, а допоміжний скрипт може розгорнутися в додаткові налаштування, невидимі у відкритому профілі. Фіксовані адреси з каталогу client-config лежать у цьому діапазоні й не можуть бути видані двічі. Префікс описує максимально можливий простір; ефективний пул — це те, що реально пропонує робоча конфігурація.

Порівняйте обидва, перш ніж робити висновки про ємність, бо менший налаштований діапазон пояснює стелю так само добре, як і топологія.

Знайдіть межу, яка справді відмовила клієнту

Спершу прочитайте топологію та ефективний пул, потім врахуйте фіксовані призначення й зарезервовані адреси. Перш ніж звинувачувати адресний простір, перевірте max-clients і будь-який контроль допуску поза OpenVPN. Насамкінець зіставте власне повідомлення сервера в момент відмови з цими кандидатами. Повідомлення називає обмеження; число лише звужує поле.

Відмова з помилкою одночасності та відмова з помилкою виділення потребують різних виправлень, а вгадування між ними марнує вікно обслуговування.

Зміна топології змінює план адрес

Перехід на топологію підмережі дає кожному клієнту одну адресу замість блоку, і це правильний крок, коли префікс справді замалий. Він також змінює значення параметрів адреси клієнта, тому кожне закріплене призначення й кожен клієнтський файл треба виводити заново, а не перенумеровувати вручну. Сплануйте новий діапазон, перенесіть статичні записи й оновіть маршрути, що на них посилаються.

Перехід не є синонімом старої конфігурації. Ставтеся до нього як до зміни плану адрес з окремим розглядом і очікуйте, що принаймні один клієнт збереже адресу з попередньої схеми.

Визначайте розмір пулу від плану, а не від маски

Виберіть розмір за кількістю одночасних клієнтів плюс запас на перепідключення й тестування, а тоді візьміть найменший префікс, що це покриває в обраній топології. Розширення до /16 задля стелі в шістдесят клієнтів міняє проблему ємності на проблему маршрутизації та перекриття, бо більший приватний діапазон частіше стикається з тим, чого клієнт уже досягає.

Задокументуйте разом топологію, пул, фіксовані призначення й отриману стелю клієнтів. Тоді наступне питання про ємність стане арифметикою, а не розслідуванням.