Kako planirati skup adresa VPN klijenata koji odgovara

Počnite u polju skupa na VPN serveru, a ne u tabeli. Sve što tamo unesete postaje unutrašnji adresni prostor za svakog klijenta koji se poslije poveže, i mora koegzistirati s LAN-om do kojeg ti klijenti dolaze, s rutiranim lokacijama iza njega i s adresom koju klijent već ima kod kuće. Povežite jednog klijenta odmah nakon što se skup sačuva, jer ta prva veza kaže vam radi li vrijednost u praksi. Odatle se obilazak kreće prema van: adresa koju je klijent dobio, put koji odgovor prelazi i zapis koji ostavljate za sobom.

Počnite u polju skupa, prije nego se poveže ijedan klijent

Svaki proizvod to izlaže drugačije, pa pronađite objekt koji stvarno dodjeljuje adrese. OpenVPN ima serversku direktivu skupa koja dijeli sljedeću slobodnu adresu, IKEv2 gateway ima odjeljak skupa vezan za konfiguraciju partnera, a WireGuard nema nijedno jer svaki partner nosi vlastitu adresu u svojoj konfiguracijskoj datoteci. Direktiva skupa i adresa pojedinačnog partnera nisu zamjenjive, a uređivanje pogrešne troši ostatak obilaska.

Kad dobijete polje, popišite raspone koji već postoje: uredski LAN, svaku rutiranu lokaciju, cloud VPC i svaki drugi skup koji je još u upotrebi. Preklapanje se odlučuje aritmetikom prefiksa, a ne time izgledaju li brojevi hostova poznato, pa uporedite agregat sa svakim od tih raspona. Dva raspona koja oba izgledaju kao 10.x bezopasna su kada se njihovi agregati ne sijeku i incident za podršku kada se sijeku.

Zatim odlučite je li adresa funkcija onoga ko se povezuje ili onoga kada se povezuje. Dinamička dodjela dijeli što je slobodno, dok dodjela po identitetu veže fiksnu adresu za vjerodajnicu. Zapišite izbor, jer on mijenja kako ponovno povezivanje treba izgledati kasnije.

Pročitajte adresu koju je klijent stvarno dobio

Povežite jedan klijent i pročitajte šta tunel prijavljuje, a ne šta je skup obećao. Klijent prikazuje svoju unutrašnju adresu u statusu veze, a na Linuxu je interfejs nosi direktno.

Uporedite tu adresu s rasponom koji ste sačuvali. Ako je izvan raspona, gledate drugi put dodjele od onog koji ste uređivali. Provjerite i dužinu prefiksa, jer klijent s /32 nema partnera na vezi i šalje svako odredište kroz svoju zadanu rutu.

ip -4 addr show tun0
ip route get 192.168.50.20

Klijent koji se povezuje s kućnog rutera koji koristi isti raspon povezat će se i zatim doći gotovo nigdje. Klijent zadržava svoju lokalnu rutu za taj prefiks, pa se adresa tunela sudara s mrežom iza njega i promet izlazi kroz pogrešan interfejs. Taj se slučaj ne može popraviti na serveru; dokumentirano rješenje je prenumeracija kućne mreže ili izbor raspona skupa dovoljno udaljenog da sudari ostanu rijetki. Zabilježite i kvar i rješenje, jer će ga služba za podršku ponovo sresti.

Ponovo povežite isti klijent i gledajte adresu. Dinamički skup može vratiti istu vrijednost ili drugu i obje su ispravne, dok skup po identitetu koji mijenja adresu ne poštuje vezivanje. Ta provjera traje sekunde i rješava je li način koji ste zapisali u prvom odjeljku način na snazi.

Pratite odgovor natrag od usluge

Skup radi samo kada odgovori mogu putovati natrag do njega. Usluga na LAN-u odgovara na unutrašnju adresu, pa njen gateway treba rutu za skup ili prevođenje ispred usluge. Kada zahtjev stigne kroz tunel a odgovor izađe drugim putem, stateful firewall ili provjera obrnutog puta ga odbaci, i klijent vidi uslugu koja se poveže i zatim visi. Stavite skup u dizajn rutiranja kao jedan blok koji se može sažeti, umjesto dodavanja ruta po hostu.

Prevođenje mijenja ono što vidi ostatak sistema. Kada se izvor prepiše, adresa u host firewallu i u zapisu aplikacije je prevedena, pa pravilo napisano prema adresi skupa ne odgovara ničemu i linija zapisa ne može se pratiti do klijenta. strongSwan dokumentacija o prosljeđivanju pokriva serversku polovinu tog puta za IKEv2 gateway. DNS nosi isto ograničenje, jer ime koje se razrješava u adresu koju klijent ne može dosegnuti pada kasnije i na drugom mjestu.

Dva klijenta, pa jedno opoziv

Povežite dva klijenta istovremeno i pročitajte obje adrese. Moraju biti različite, upotrebljive i unutar skupa, i svaka mora dosegnuti uslugu kojoj je namijenjena. Skup koji dijeli duplikate adresa obično se pokaže ovdje, a ne u prvom testu s jednim klijentom.

Opozvite jednu vjerodajnicu dok drugi klijent ostaje povezan, zatim isprobajte uslugu s klijenta koji je preživio. Opoziv koji remeti drugu sesiju upućuje na dijeljeno stanje, najčešće jednu vjerodajnicu ili jednu adresu ponovno upotrijebljenu na više uređaja. Ponovo povežite opozvani klijent i potvrdite da mu je odbijen pristup, a ne da je dobio oslobođenu adresu.

Završite odredištem koje treba biti odbijeno. Klijent koji dosegne sve je povezan, a ne testiran.

Zapišite četiri vrijednosti gdje će ih sljedeća promjena naći

Zapis je kratak: raspon skupa i prefiks, način dodjele, povratni put ili prevođenje u upotrebi i obim DNS-a koji odgovara za ta odredišta. Stavite ga uz konfiguraciju servera, a ne u tiket, i datirajte ga. Svakome ko kasnije promijeni jednu od četiri trebaju ostale tri pred njim, jer promjena veličine skupa lomi rutu, a promjena rute lomi DNS odgovor.

Držite s njim i napomenu o vlasništvu: raspon tunela pripada VPN serveru, a rezervacija napravljena u LAN DHCP obimu ne rezerviše ništa za klijenta unutar tunela. Taj jedan red sprječava najčešći ponovni rad, gdje neko doda rezervaciju i očekuje da će adresa tunela ići za njom.