Статычныя адрасы кліентаў OpenVPN за OPNsense
Файл пула робіць адрас ліпкім, а не пастаянным. Замацуйце адрасы кліентаў пераазначэннямі, пашырце дыяпазон тунэля дзеля арыфметыкі /30, потым апублікуйце іх.
Імёны патрабуюць адрасоў, якія не рухаюцца, а файл пула OpenVPN робіць адрас толькі ліпкім. Страціце гэты файл або перавыдасце сертыфікат пад іншым агульным імем — і кліент, што вяртаецца, апынецца ў іншым месцы пула, пакуль яго запіс DNS усё яшчэ паказвае на стары адрас. Трывалы адказ — пераазначэнне для канкрэтнага кліента, якое замацоўвае адрас, плюс шырэйшая сетка тунэля, каб замацаваныя адрасы былі па-за дынамічным дыяпазонам. Менавіта ў арыфметыцы гэтага пашырэння і хаваецца большая частка блытаніны.
OPNsense трымае гэтыя пераазначэнні ў наладах сервера, спецыфічных для кліента, з ключом па агульным імені сертыфіката, што робіць агульнае імя часткай плана адрасоў.
Ліпкая арэнда не ёсць статычны адрас
Файл пула запісвае адпаведнасці адрас-кліент і вяртае іх, калі вядомы кліент падключаецца зноў. Гэта зручнасць, а не дамова: файл можна перагенераваць, адпаведнасць знікае, калі змяняецца ідэнтычнасць кліента, а два серверы, што дзеляць пул, не дамовяцца пра яго. Пераазначэнне для канкрэтнага кліента працуе інакш, бо адрас бярэцца з канфігурацыі, а не з гісторыі. Яно таксама перажывае перазапуск і пераўсталёўку прылады, калі пераазначэнне захавана ў рэзервовай копіі разам з рэштай канфігурацыі.
Дынамічная альтэрнатыва — звязаць VPN з DNS праз скрыпт client-connect і дынамічныя абнаўленні — працуе і патрабуе рэзалвера, які прымае абнаўленні, плюс скрыпт пры кожным злучэнні. На прыладзе вы абмежаваныя пакетамі, якія пастаўляе вытворца, і звычайна менавіта тут гэты план спыняецца.
Арыфметыка /30, якой ніхто не радуецца
У стандартнай тапалогіі net30 кожны кліент атрымлівае ўласную /30: першы прыдатны адрас ідзе боку сервера, другі — кліенту. Таму пераазначэнні мусяць быць па-за дынамічнай сеткай тунэля сервера, а гэта значыць спачатку пашырыць гэтую сетку. Сервер на 10.8.0.0/24 можа перайсці на 10.8.0.0/23, пакінуўшы палову старога дыяпазону дынамічным кліентам, а другую палову — пераазначэнням. Дадайце зыходную /24 як дадатковую лакальную сетку IPv4, каб трафік да абедзвюх палоў ішоў у тунэль.
Кожны адрас пераазначэння мусіць ляжаць на мяжы /30, таму апошні актэт кратны чатыром. /30 на 10.8.1.0 дае кліенту 10.8.1.2, і менавіта гэты адрас нясе запіс DNS. Выбар 10.8.1.3 замест гэтага дае кліента, які падключаецца і не можа прапускаць трафік, бо адрас належыць падсетцы, якую тапалогія яму ніколі не прызначала.
План прасцей трымаць, калі пераазначэнні выдзяляюцца зверху пашыранага дыяпазону ўніз, так што дынамічны пул пашыраецца ў свабодную прастору, а не вакол фіксаваных астравоў.
Лакальныя сеткі і зона, якую запытваюць кліенты
Трафік ад кліента да кліента патрабуе ўласнага дазволу. Спіс лакальных сетак IPv4 сервера мусіць уключаць абедзве паловы дыяпазону — дынамічную і статычную; без гэтага сервер прымае пакет ад аднаго кліента і не мае палітыкі, якая дазваляе прапусціць яго да іншага. Сімптом выглядае як збой DNS, бо імя развязваецца, а злучэнне ўсё роўна не ўдаецца. Праверце наладу «ад кліента да кліента» адначасова, бо адзін запіс лакальнай сеткі не ўключае перасылку паміж аднагодкамі.
Публікуйце запісы ў той зоне, якую адаленыя кліенты фактычна запытваюць. Запіс у зоне, якую абслугоўвае толькі рэзалвер LAN, нябачны кліенту, чый прасунуты рэзалвер паказвае ў іншае месца, і даданне новых запісаў у няправільную зону гэтага не выправіць. Перад тым як нешта дадаваць, пацвердзіце прасунутую опцыю DNS і пошукавы дамен.
Што праверыць пры новым злучэнні
Падключыце кліента зноў і пераканайцеся, што прызначаны адрас супадае з яго пераазначэннем, перш чым нешта іншае тэставаць. Затым развяжыце імя з другога кліента і падключыцеся да службы па імені — гэта разам правярае запіс DNS, маршрут і файрвол. Пацвердзіце зваротны шлях на баку сервера, бо імя, што развязваецца, пакуль служба застаецца недасяжнай, — гэта праблема маршрутызацыі або палітыкі, а не імёнаў. Трымайце табліцу пераазначэнняў побач са спісам сертыфікатаў, каб абедзве правяраліся разам.
Сертыфікат, перавыдадзены пад іншым агульным іменем, перастае адпавядаць свайму пераазначэнню і вяртае кліента ў дынамічны пул. Чакайце гэтага пасля любой змены ідэнтычнасці.