Stabiele OpenVPN-adresse moet identiteit volg, nie bron-IP nie
’n Statiese adres is ’n stelling oor ’n identiteit, nie oor ’n bron-IP nie. Kies die sleutel, hou reserverings buite die poel en kies dan die eienaar van die toewysing.
Adresplanne wat sê ‘hierdie skootrekenaar kry 10.90.0.10’ is eintlik stellings oor identiteit: watter gemagtigde toestel mag daardie adres hou. Die huidige openbare IP van daardie toestel het byna niks daarmee te doen nie, want NAT en swerwing verander dit sonder om te verander wie die gebruiker is. Om die plan op die bronadres te bou, lewer reëls wat by die eerste hotelnetwerk breek. Om dit op die gemagtigde identiteit te bou, lewer ’n plan wat reis oorleef.
Begin by wat die bediener kan verifieer, en besluit dan waarvoor die adres is.
Kies die identiteitsleutel voor die adres
’n Aparte kliëntsertifikaat per toestel gee die bediener ’n stabiele, verifieerbare sleutel vir elke lid, wat die skoonste basis vir ’n statiese toewysing is. ’n Ontplooiing met per-gebruiker-verifikasie kan eerder op die gebruikersnaam sleutel, solank die keuse van die konfigurasie dieselfde veld volg. Om die twee modelle te meng, lewer toewysings wat vir een kliënt by ’n sertifikaat pas en vir ’n ander by ’n gebruikersnaam, en niemand kan voorspel watter een wen nie. Besluit watter sleutel die plan gebruik voordat jy ’n enkele reservering skryf.
Met duplicate-cn kan verskeie gelyktydige sessies dieselfde algemene naam aanbied, so een vasgepen adres kan hulle nie individueel identifiseer nie. Dit is ’n eienskap van die identiteitsmodel, nie iets wat ’n beter adresplan kan regmaak nie.
Reserveer adresse buite die dinamiese reeks
In ’n subnet-topologie-netwerk soos 10.90.0.0/24, hou die lae adresse vir benoemde lede en plaas die dinamiese poel in ’n onsamehangende reeks. ’n Toewysing vir ’n vasgepen lid lyk soos ifconfig-push 10.90.0.10 255.255.255.0 in die lêer wat die bediener vir daardie identiteit kies. Die tweede argument beteken iets anders onder net30, so die voorbeeld is nie topologie-neutraal nie. Lees die topologie voordat jy dit kopieer.
Poelvolharding teken onlangse huurkontrakte aan en is geneig om dieselfde adres terug te gee, wat ’n gerief is eerder as ’n reservering. Moenie toelaat dat die volhardingslêer die rekord van eienaarskap word nie, want dit verander met verbindingsgeskiedenis eerder as met beleid.
Toewysingsvoorrang bepaal wie wen
Die handleiding dokumenteer ’n volgorde: ’n eksplisiete toewysing wat tydens client-connect geskep word, kan voor ’n client-config-dir-inskrywing in werking tree, wat op sy beurt gewone poeltoekenning voorafgaan. Daardie ordening verduidelik die meeste ‘die vasgepen adres het nie toegepas nie’-verslae. Dit beteken ook dat ’n dinamiese toekenningsprogram wat per-sessie-konfigurasie skryf, stilweg ’n statiese lêer kan oorheers wat jy as gesaghebbend beskou het.
Kies een laag om toewysings te besit en maak die ander leesalleen. Twee lae wat albei beweer hulle besluit, lewer toewysings wat van tydsberekening afhang.
’n Dinamiese toekenningsprogram het dieselfde model nodig
’n client-connect-integrasie wat adresse per sessie uitdeel is ’n klein toekenningsprogram met die gewone toekenningsprobleme. Dit moet die versoekende identiteit verifieer, ’n adres atomies reserveer, slegs die ondersteunde per-verbinding-uitset lewer, en die reservering by ontkoppeling of mislukking vrylaat. Gelyktydige versoeke het ’n slot of ’n databasisbeperking nodig, nie ’n lees-dan-skryf-reeks nie. Sonder opruiming lek die poel adresse tot ’n herbegin.
Hou die toekenningsprogram se toestand waar die volgende operateur dit kan lees, en teken die identiteit-tot-adres-besluit aan eerder as net die adres.
Besluit of die adres beleid of gerief is
As ’n vuurmuurreël of ’n roete verkeer van een tonneladres toelaat, dan neem die adres aan toegangsbeleid deel en ’n hertoewysing erf daardie toestemming. Koördineer die identiteit-, adres- en vuurmuurlewensiklus, of sleutel die reël op iets wat nie hertoewys kan word nie. Stabiele adressering maak die konfigurasie leesbaar; dit vervang nie verifikasie nie.
Skryf die plan as ’n inventaris met ’n eienaar per inskrywing, en hersien dit wanneer ’n toestel uit diens gestel word. Die ongebruikte reservering is die een wat per ongeluk hergebruik word.