OPNsense arxasında statik OpenVPN müştəri ünvanları

Adların yerində qalan ünvanlara ehtiyacı var, və OpenVPN hovuz faylı ünvanı yalnız yapışqan edir. O faylı itirsəniz və ya sertifikatı başqa ümumi adla yenidən versəniz, qayıdan müştəri hovuzun başqa yerinə düşər, halbuki onun DNS qeydi hələ də köhnə ünvana işarə edir. Davamlı cavab ünvanı sabitləyən müştəriyə xas fərdi üstünlük və sabitlənmiş ünvanların dinamik aralıqdan kənarda qalması üçün daha geniş tunel şəbəkəsidir. Bu genişləndirmənin arxasındakı hesablama qarışıqlığın çoxunun yaşadığı yerdir.

OPNsense həmin fərdi üstünlükləri serverin müştəriyə xas parametrlərində saxlayır, açar sertifikatın ümumi adıdır və bu, ümumi adı ünvan planının bir hissəsinə çevirir.

Yapışqan icarə statik ünvan deyil

Hovuz faylı ünvan-müştəri cütlüklərini yazır və tanınan müştəri yenidən qoşulanda onları qaytarır. Bu, müqavilə deyil, rahatlıqdır: fayl yenidən yaradıla bilər, müştərinin şəxsiyyəti dəyişəndə cütlük yox olur və hovuzu paylaşan iki server bu barədə razılaşmaz. Müştəriyə xas fərdi üstünlük fərqli işləyir, çünki ünvan tarixdən deyil, konfiqurasiyadan gəlir. Üstəlik, üstünlük konfiqurasiyanın qalan hissəsi ilə birlikdə ehtiyat nüsxəyə salınarsa, cihazın yenidən başladılmasına və yenidən quraşdırılmasına da dözür.

Dinamik alternativ, yəni VPN-in müştəri qoşulma skripti və dinamik yeniləmələrlə DNS-ə bağlanması işləyir və yeniləmələri qəbul edən həlledici üstəgəl hər qoşulmada skript tələb edir. Cihazda satıcının göndərdiyi paketlərlə məhdudlaşırsınız və adətən plan məhz orada dayanır.

Heç kimin sevmədiyi /30 hesablaması

Standart net30 topologiyasında hər müştəri öz /30-unu alır: ilk istifadə oluna bilən ünvan server tərəfinə, ikincisi müştəriyə gedir. Buna görə fərdi üstünlüklər serverin dinamik tunel şəbəkəsindən kənarda yerləşməlidir, yəni əvvəlcə həmin şəbəkəni genişləndirmək lazımdır. 10.8.0.0/24 üzərindəki server 10.8.0.0/23-ə keçə bilər və köhnə aralığın yarısını dinamik müştərilərə, digər yarısını fərdi üstünlüklərə buraxar. Hər iki yarıya gedən trafikin tunelə yönəlməsi üçün orijinal /24-ü əlavə IPv4 yerli şəbəkə kimi əlavə edin.

Hər fərdi üstünlük ünvanı /30 sərhədinə düşməlidir, yəni son oktet dördün qatı olmalıdır. 10.8.1.0 üzərindəki /30 müştəriyə 10.8.1.2 verir və DNS qeydinin daşıdığı ünvan budur. Əvəzində 10.8.1.3 seçsəniz, qoşulan, lakin trafik keçirə bilməyən müştəri alarsınız, çünki ünvan topologiyanın ona heç vaxt təyin etmədiyi alt şəbəkəyə aiddir.

Planı saxlamaq daha asandır, əgər fərdi üstünlüklər genişlənmiş aralığın yuxarısından aşağıya doğru ayrılırsa, beləliklə dinamik hovuz sabit adacıqların ətrafına deyil, boş sahəyə doğru genişlənir.

Yerli şəbəkələr və müştərilərin sorğu verdiyi zona

Müştəridən müştəriyə trafik öz icazəsini tələb edir. Serverin IPv4 yerli şəbəkələr siyahısına aralığın hər iki yarısı, dinamik və statik daxil olmalıdır; bu olmadan server bir müştəridən paket qəbul edir və onu digərinə ötürməyə icazə verən siyasəti olmur. Simptom DNS nasazlığı kimi oxunur, çünki ad həll olunur, amma əlaqə yenə də qırılır. Müştəridən müştəriyə parametrini də eyni vaxtda yoxlayın, çünki tək bir yerli şəbəkə qeydi bərabər müştərilər arasında yönləndirməni aktivləşdirmir.

Qeydləri uzaq müştərilərin həqiqətən sorğu verdiyi zonada dərc edin. Yalnız LAN həlledicisi tərəfindən xidmət olunan zonadakı qeyd, ötürülən həlledicisi başqa yerə işarə edən müştəri üçün görünməzdir və yanlış zonaya daha çox qeyd əlavə etmək bunu heç vaxt düzəltmir. Əmin olun ki, ötürülən DNS seçimi və axtarış domeni hər hansı bir şey əlavə etməzdən əvvəl.

Yeni bağlantıda nəyi yoxlamaq lazımdır

Müştərini yenidən qoşun və başqa heç nəyi sınamadan əvvəl təyin edilmiş ünvanın onun fərdi üstünlüyünə uyğun olduğunu təsdiqləyin. Sonra adı ikinci müştəridən həll edin və xidmətə adla qoşulun; bu, DNS qeydini, marşrutu və firewall-u birlikdə yoxlayır. Server tərəfində cavab yolunu təsdiqləyin, çünki adın həll olunub xidmətin əlçatmaz qalması adlandırma deyil, marşrutlaşdırma və ya siyasət problemidir. Fərdi üstünlüklər cədvəlini sertifikat siyahısının yanında saxlayın ki, ikisi birlikdə nəzərdən keçirilsin.

Başqa ümumi adla yenidən verilən sertifikat öz fərdi üstünlüyünə uyğun gəlməyi dayandırır və müştərini dinamik hovuza qaytarır. Hər şəxsiyyət dəyişikliyindən sonra bunu gözləyin.