عنوان IP ثابت لكل عميل في OpenVPN: ifconfig-push وليس ipp.txt

تعديل سطر في ipp.txt يبدو وكأنه حجز عنوان، لكنه ليس كذلك. ذلك الملف، الذي يحدده ifconfig-pool-persist، يسجّل العنوان الذي حمله الاسم الشائع في المرة الأخيرة كي يتمكن المجمّع من إعادة العنوان نفسه عندما يكون ذلك مناسبًا. لا شيء فيه يربط الاتصال التالي بذلك الرقم.

نفّذ الفحوص أدناه بالترتيب. كل فحص إما يؤكد الآلية أو يطلب منك التوقف وإصلاح أحد المدخلات.

الغرض من ملف الاستمرارية

الملف موجود لإبقاء العناوين مستقرة عبر عمليات إعادة التشغيل، ما يجعل إعادة الاتصال أسهل والقراءة في السجلات أوضح. يُقرأ كسجل ويُكتب كسجل، ويظل مسار التخصيص حرًا في اختيار عنوان آخر عندما لا يناسب التلميح: مجمّع مختلف، أو تخصيص متعارض، أو عميل وصل بعد امتلاء المجمّع. لهذا قد تبدو التعديلات اليدوية مثالية في الملف ولا تغيّر شيئًا في الاتصال. تعامل معه كذاكرة مؤقتة للقرارات السابقة لا كمصدر للسياسة.

إذا كنت بحاجة إلى عنوان محدد لعميل محدد، فالآلية الموثقة هي ifconfig-push، وهي تنتمي إلى التكوين الذي يملك ذلك العميل.

تحقق من اختيار العميل الصحيح

يُبحث عن التخصيص الصريح بواسطة الاسم الشائع للعميل، لذا لا يُقرأ أصلًا أي ملف يحمل الاسم الخطأ. تأكد مما يعتبره الخادم اسم ذلك العميل، خصوصًا حيث يغيّره username-as-common-name بعد المصادقة. ثم تأكد من أن اسم الملف يطابق تلك القيمة تمامًا، بما في ذلك حالة الأحرف.

فكّر في التزامن ما دمت هنا. إذا كان duplicate-cn مسموحًا، يمكن لعدة أجهزة أن تقدّم الهوية نفسها، ولا يمكن لعنوان ثابت واحد أن يكون فريدًا لكل منها. قرّر ما إذا كان العنوان الثابت يستحق رفض الجلسات المتزامنة لتلك الهوية، لأن هذين الشرطين لا يمكن تلبيتهما معًا.

تحقق من تطابق الأرقام مع الطوبولوجيا

يعتمد معنى الوسيطتين على طوبولوجيا النفق، وهنا يوقع المثال المنسوخ أكبر ضرر. في ترتيب net30 الأقدم يحتل كل عميل كتلة من أربعة عناوين، لذا يقدّم الدفع زوجًا من العناوين. في طوبولوجيا الشبكة الفرعية يتلقى العميل عنوانًا واحدًا بالإضافة إلى قناع المجمّع، ويكون شكل الزوج خطأً. اقرأ الطوبولوجيا من التكوين الجاري قبل كتابة السطر.

# /etc/openvpn/ccd/partner-a   (subnet topology)
ifconfig-push 10.44.0.61 255.255.255.0

تحقق من العنوان مقابل كل شيء آخر قد يملكه: تخصيص صريح آخر، ونطاق المجمّع الديناميكي، وأي مسار ثابت يفترض مضيفًا ثابتًا. العنوان الذي يتداخل مع المجمّع سيعمل إلى أن يمنحه المجمّع لشخص آخر، وسيبدو ذلك الفشل عشوائيًا.

تحقق من النتيجة على اتصال جديد

تحتفظ الجلسة القائمة بالعنوان الذي أُعطي لها، لذا الاختبار الوحيد ذو المعنى هو اتصال جديد. افصل العميل وأعد الاتصال، ثم اقرأ العنوان الذي تلقاه فعلًا مع المسارات التي وصلت معه. إذا ظل العنوان ديناميكيًا، فلم يُطبَّق التخصيص، والخطوة التالية هي البحث في التكوين لا تعديل آخر في ملف السجل.

احتفظ بالأدلة معًا: اسم العميل، والملف الذي طابقه، والعنوان المخصص، والمجمّع الذي جاء منه.

أخيرًا، العنوان الثابت للنفق ليس بيانات اعتماد للجهاز. إنه يحدد موضعًا في خطة العناوين، بينما تظل المصادقة معتمدة على الشهادة والحساب. الخلط بين الاثنين يحوّل تعارض عنوان إلى افتراض أمني لم يكتبه أحد.