Стабільныя адрасы OpenVPN павінны прытрымлівацца ідэнтычнасці, а не зыходнаму IP

Планы адрасоў, якія кажуць «гэты ноўтбук атрымлівае 10.90.0.10», насамрэч ёсць сцвярджэннямі пра ідэнтычнасць: якая аўтэнтыфікаваная прылада можа трымаць гэты адрас. Бягучы публічны IP гэтай прылады амаль не мае да гэтага дачынення, бо NAT і роўмінг змяняюць яго, не змяняючы таго, хто карыстальнік. Пабудова плана на зыходным адрасе спараджае правілы, якія ламаюцца ў першай жа гатэльнай сетцы. Пабудова яго на аўтэнтыфікаванай ідэнтычнасці спараджае план, які перажывае падарожжы.

Пачніце з таго, што сервер можа праверыць, затым вырашыце, для чаго прызначаны адрас.

Выберыце ключ ідэнтычнасці раней за адрас

Асобны кліенцкі сертыфікат для кожнай прылады дае серверу стабільны, правяральны ключ для кожнага ўдзельніка, што з’яўляецца самым чыстым падмуркам для статычнага прызначэння. Разгортванне з аўтэнтыфікацыяй па карыстальніку можа замест гэтага абапірацца на імя карыстальніка, абы выбар канфігурацыі ішоў за тым жа полем. Змешванне дзвюх мадэляў спараджае прызначэнні, якія адпавядаюць сертыфікату для аднаго кліента і імені карыстальніка для іншага, і ніхто не можа прадказаць, якое пераможа. Вырашыце, які ключ выкарыстоўвае план, перш чым напісаць хаця б адно рэзерваванне.

З duplicate-cn некалькі адначасовых сеансаў могуць прадставіць адно і тое ж агульнае імя, таму адзін замацаваны адрас не можа ідэнтыфікаваць іх паасобку. Гэта ўласцівасць мадэлі ідэнтычнасці, а не нешта, што лепшы план адрасоў можа выправіць.

Рэзервуйце адрасы па-за дынамічным дыяпазонам

У сетцы з тапалогіяй падсеткі, такой як 10.90.0.0/24, трымайце нізкія адрасы для названых удзельнікаў, а дынамічны пул змяшчайце ў асобны дыяпазон. Прызначэнне для замацаванага ўдзельніка выглядае так: ifconfig-push 10.90.0.10 255.255.255.0 у файле, які сервер выбірае для гэтай ідэнтычнасці. Другі аргумент азначае нешта іншае пры net30, таму прыклад не нейтральны адносна тапалогіі. Прачытайце тапалогію, перш чым капіяваць яго.

Захаванне пула запісвае нядаўнія арэнды і мае схільнасць вяртаць той жа адрас, што зручнасць, а не рэзерваванне. Не дазваляйце файлу захавання стаць запісам уладання, бо ён змяняецца з гісторыяй падключэнняў, а не з палітыкай.

Прыярытэт прызначэння вырашае, хто пераможа

Кіраўніцтва дакументуе парадак: яўнае прызначэнне, створанае падчас client-connect, можа ўступіць у сілу раней за запіс client-config-dir, які ў сваю чаргу папярэднічае звычайнаму размеркаванню з пула. Гэты парадак тлумачыць большасць справаздач «замацаваны адрас не прымяніўся». Ён таксама азначае, што дынамічны размеркавальнік, які піша канфігурацыю для кожнага сеансу, можа ціха перакрыць статычны файл, які вы лічылі аўтарытэтным.

Выберыце адзін узровень, які валодае прызначэннямі, а іншыя зрабіце толькі для чытання. Два ўзроўні, якія абодва заяўляюць, што вырашаюць, спараджаюць прызначэнні, якія залежаць ад моманту часу.

Дынамічнаму размеркавальніку патрэбна тая ж мадэль

Інтэграцыя client-connect, якая выдае адрасы на кожны сеанс, — гэта невялікі размеркавальнік са звычайнымі праблемамі размеркавальніка. Ён павінен правяраць ідэнтычнасць запытніка, атамна рэзерваваць адрас, выдаваць толькі падтрымліваемы вывад для кожнага злучэння і вызваляць рэзерваванне пры адключэнні або збоі. Адначасовыя запыты патрабуюць блакіроўкі або абмежавання базы даных, а не паслядоўнасці «чытай, потым пішы». Без ачысткі пул страчвае адрасы да перазапуску.

Трымайце стан размеркавальніка там, дзе наступны аператар зможа яго прачытаць, і запісвайце рашэнне «ідэнтычнасць — адрас», а не толькі адрас.

Вырашыце, адрас — гэта палітыка ці зручнасць

Калі правіла міжсеткавага экрана або маршрут дазваляе трафік з аднаго адраса тунеля, тады адрас удзельнічае ў палітыцы доступу і перапрызначэнне атрымлівае гэты дазвол у спадчыну. Узгадніце жыццёвы цыкл ідэнтычнасці, адраса і міжсеткавага экрана або прывяжыце правіла да таго, што нельга перапрызначыць. Стабільная адрасацыя робіць канфігурацыю чытэльнай; яна не замяняе аўтэнтыфікацыю.

Напішыце план як інвентар з уладальнікам для кожнага запісу, затым перагледзьце яго, калі прылада выводзіцца з эксплуатацыі. Невыкарыстанае рэзерваванне — тое, якое выпадкова выкарыстоўваюць паўторна.