ifconfig-push: адрас суседа ў net30 ці маска падсеткі ў subnet?

Другі аргумент ifconfig-push — гэта адрас суседа ў net30 і маска падсеткі пры topology subnet. Параўнайце працоўную тапалогію перад рэдагаваннем файла CCD.

Дынамічныя кліенты падключаюцца і маршрутызуюцца нармальна, але адзіны кліент з фіксаваным адрасам зусім не дасягае сервера. У фаерволе нічога не змянілася, а радок CCD выглядае праўдападобна. Звычайная прычына — другі аргумент, напісаны для іншай тапалогіі TUN, чым тая, з якой працуе сервер. Збой ціхі: кліент атрымлівае адрас і сервер прымае злучэнне, але трафік не праходзіць.

У net30 гэтае поле — адрас суседа; у subnet — маска падсеткі. Дзве формы — гэта альтэрнатывы, а ніколі не паслядоўнасць.

Дзве формы, побач

У традыцыйным разгортванні net30 кожны кліент валодае блокам /30: адрас сеткі, два прыдатныя адрасы і шырокавяшчальны адрас. ifconfig-push прымае адрас кліента і адрас суседа, а сусед — гэта другі прыдатны адрас у тым жа блоку, які выкарыстоўвае бок сервера кропка-кропкавага злучэння.

# net30: client address and its peer
ifconfig-push 10.99.0.6 10.99.0.5
# topology subnet: client address and the pool netmask
ifconfig-push 10.99.0.20 255.255.255.0

Пры topology subnet кліент дзеліць адну падсетку з серверам, і тая ж дырэктыва прымае адрас і маску падсеткі. Уласны адрас сервера бярэцца з дырэктывы server, а не з другога поля. Змешванне форм стварае кліента, які лічыць, што знаходзіцца ў кропка-кропкавым злучэнні, тады як сервер маршрутызуе яго як вузел падсеткі, або наадварот. Вось чаму маску падсеткі ніколі нельга спалучаць з net30.

Абодва радкі ў блоку — асобныя радкі для файла CCD. Кожны кліент атрымлівае роўна адзін з іх.

Чытайце тапалогію, з якой сервер фактычна працуе

Чытайце працоўную канфігурацыю, а не тыповую з пакета, бо тапалогія магла быць зададзена гады таму і перанесена наперад. Шукайце topology subnet або яго адсутнасць, затым праверце, як радок server размяркоўвае адрасы. Канфігурацыя, якая ніколі не згадвае тапалогію, не тое самае, што тая, якая задае subnet.

Затым прачытайце атрыманыя кліентам налады. Адрас, маска і сусед, якія ён паведамляе, падказваюць, якое тлумачэнне прымяніў сервер.

Трымайце фіксаваны адрас па-за дынамічным пулам

Фіксаваны адрас павінен знаходзіцца па-за дынамічным пулам, інакш двум кліентам можа быць выдадзены адзін адрас. Пры тапалогіі subnet nopool у радку server адключае аўтаматычны пул, а яўны дыяпазон ifconfig-pool вызначае, што атрымліваюць дынамічныя кліенты.

dev tun
topology subnet
server 10.99.0.0 255.255.255.0 nopool
ifconfig-pool 10.99.0.100 10.99.0.210 255.255.255.0
client-config-dir /etc/openvpn/ccd

Сервер бярэ 10.99.0.1 сабе, а фіксаваны адрас кліента знаходзіцца па-за дыяпазонам пула. Файл CCD называецца паводле эфектыўнай асобы кліента, а не паводле імені профільнага файла, і не мае дадатковага пашырэння. Калі username-as-common-name актыўны, то аўтэнтыфікаванае імя карыстальніка — гэта асоба, якую трэба супаставіць. Дзве прылады, якія падзяляюць адну асобу, будуць падзяляць і фіксаваны адрас, што з’яўляецца праблемай палітыкі, а не маршрутызацыі.

Праверце прызначэнне, якое кліент фактычна атрымаў

Перападключыце патрэбны кліент і пацвердзіце, які файл CCD быў выбраны, перад праверкай чаго-небудзь іншага. Затым праверце адрас, маску або суседа і маршрут назад да сервера. Кліент, які паказвае адрас суседа ў разгортванні subnet, усё яшчэ выкарыстоўвае няправільную форму.

Змена тапалогіі ўплывае на кожнага кліента і кожнае перакрыццё, таму стаўцеся да яе як да міграцыі, а не як да рамонту аднаго кліента. Выпраўленне статычнага радка ў адпаведнасці з ужо выкарыстоўванай тапалогіяй звычайна меншая змена. даведнік server-options апісвае дапаможнік і перакрыцці, спецыфічныя для кліента.

Падобныя артыкулы