Sabit OpenVPN ünvanları mənbə IP-yə deyil, kimliyə uyğun olmalıdır

«Bu noutbuk 10.90.0.10 alır» deyən ünvan planları əslində kimlik haqqında bəyanatlardır: hansı autentifikasiya olunmuş cihazın həmin ünvanı saxlaya biləcəyi. Həmin cihazın hazırkı ictimai IP-sinin buna demək olar ki, heç bir aidiyyəti yoxdur, çünki NAT və rouminq istifadəçinin kim olduğunu dəyişmədən onu dəyişir. Planı mənbə ünvanı üzərində qurmaq ilk otel şəbəkəsində pozulan qaydalar yaradır. Onu autentifikasiya olunmuş kimlik üzərində qurmaq isə səyahətə tab gətirən plan yaradır.

Serverin nəyi yoxlaya bildiyindən başlayın, sonra ünvanın nə üçün olduğuna qərar verin.

Ünvandan əvvəl kimlik açarını seçin

Hər cihaz üçün ayrıca müştəri sertifikatı serverə hər üzv üçün sabit, yoxlanıla bilən açar verir ki, bu da statik təyinat üçün ən təmiz əsasdır. İstifadəçi üzrə autentifikasiya istifadə edən quraşdırma bunun əvəzinə istifadəçi adına əsaslana bilər, bir şərtlə ki, konfiqurasiya seçimi eyni sahəni izləsin. İki modeli qarışdırmaq bir müştəri üçün sertifikata, digəri üçün istifadəçi adına uyğun gələn təyinatlar yaradır və heç kim hansının qalib gələcəyini proqnozlaşdıra bilmir. Tək bir rezervasiya yazmazdan əvvəl planın hansı açardan istifadə edəcəyinə qərar verin.

duplicate-cn ilə bir neçə eyni vaxtlı sessiya eyni ümumi adı təqdim edə bilər, buna görə bir bərkidilmiş ünvan onları fərdi şəkildə müəyyən edə bilməz. Bu, kimlik modelinin xassəsidir, daha yaxşı ünvan planının düzəldə biləcəyi bir şey deyil.

Ünvanları dinamik diapazondan kənarda rezerv edin

10.90.0.0/24 kimi alt şəbəkə topologiyalı şəbəkədə aşağı ünvanları adlı üzvlər üçün saxlayın və dinamik hovuzu ayrı diapazona qoyun. Bərkidilmiş üzv üçün təyinat serverin həmin kimlik üçün seçdiyi faylda belə görünür: ifconfig-push 10.90.0.10 255.255.255.0. İkinci arqument net30 altında fərqli məna daşıyır, ona görə nümunə topologiyaya neytral deyil. Kopyalamazdan əvvəl topologiyanı oxuyun.

Hovuz davamlılığı son icarələri qeyd edir və eyni ünvanı qaytarmağa meyllidir, bu isə rezervasiya deyil, rahatlıqdır. Davamlılıq faylının mülkiyyət qeydi olmasına imkan verməyin, çünki o, siyasətlə deyil, bağlantı tarixçəsi ilə dəyişir.

Təyinat üstünlüyü kimin qalib gəldiyini müəyyən edir

Təlimat bir sıra sənədləşdirir: client-connect zamanı yaradılan açıq təyinat client-config-dir girişindən əvvəl qüvvəyə minə bilər, o da öz növbəsində adi hovuz bölgüsündən əvvəl gəlir. Bu sıra «bərkidilmiş ünvan tətbiq olunmadı» hesabatlarının çoxunu izah edir. Bu həm də o deməkdir ki, hər sessiya üçün konfiqurasiya yazan dinamik bölüşdürücü sizin səlahiyyətli hesab etdiyiniz statik faylı səssizcə üstələyə bilər.

Təyinatları sahiblənəcək bir qat seçin və digərlərini yalnız oxuna bilən edin. Hər ikisi qərar verməyi iddia edən iki qat zamandan asılı təyinatlar yaradır.

Dinamik bölüşdürücüyə eyni model lazımdır

Hər sessiya üçün ünvan paylayan client-connect inteqrasiyası adi bölüşdürücü problemləri olan kiçik bir bölüşdürücüdür. O, sorğu göndərən kimliyi yoxlamalı, ünvanı atomik rezerv etməli, yalnız dəstəklənən hər bağlantı çıxışını verməli və bağlantı kəsiləndə və ya uğursuzluqda rezervasiyanı buraxmalıdır. Eyni vaxtlı sorğular oxu-sonra-yaz ardıcıllığı deyil, kilid və ya verilənlər bazası məhdudiyyəti tələb edir. Təmizləmə olmadan hovuz yenidən başladılana qədər ünvanları sızdırır.

Bölüşdürücünün vəziyyətini növbəti operatorun oxuya biləcəyi yerdə saxlayın və yalnız ünvanı deyil, kimlik-ünvan qərarını da jurnalda qeyd edin.

Ünvanın siyasət, yoxsa rahatlıq olduğuna qərar verin

Əgər firewall qaydası və ya marşrut bir tunel ünvanından trafikə icazə verirsə, o zaman ünvan giriş siyasətində iştirak edir və yenidən təyinat həmin icazəni miras alır. Kimlik, ünvan və firewall həyat dövrünü əlaqələndirin və ya qaydanı yenidən təyin edilə bilməyən bir şeyə əsaslandırın. Sabit ünvanlama konfiqurasiyanı oxunaqlı edir; o, autentifikasiyanı əvəz etmir.

Planı hər giriş üçün sahib göstərən inventar kimi yazın, cihaz istismardan çıxarıldıqda isə onu yenidən nəzərdən keçirin. İstifadə olunmayan rezervasiya təsadüfən təkrar istifadə olunan rezervasiyadır.