Les adreces estables d’OpenVPN han de seguir la identitat, no la IP d’origen
Una adreça estàtica és una afirmació sobre una identitat, no sobre una IP d’origen. Tria la clau, mantén les reserves fora del pool i després tria el propietari de l’assignació.
Els plans d’adreces que diuen «aquest portàtil rep 10.90.0.10» són en realitat afirmacions sobre la identitat: quin dispositiu autenticat pot tenir aquesta adreça. La IP pública actual d’aquest dispositiu gairebé no hi té res a veure, perquè el NAT i l’itinerància la canvien sense canviar qui és l’usuari. Construir el pla sobre l’adreça d’origen produeix regles que es trenquen a la primera xarxa d’hotel. Construir-lo sobre la identitat autenticada produeix un pla que sobreviu als viatges.
Comença pel que el servidor pot verificar i després decideix per a què serveix l’adreça.
Tria la clau d’identitat abans de l’adreça
Un certificat de client separat per dispositiu dona al servidor una clau estable i verificable per a cada membre, que és la base més neta per a una assignació estàtica. Un desplegament amb autenticació per usuari pot basar-se en el nom d’usuari, sempre que la selecció de configuració segueixi el mateix camp. Barrejar els dos models produeix assignacions que coincideixen amb un certificat per a un client i amb un nom d’usuari per a un altre, i ningú no pot predir quin guanyarà. Decideix quina clau fa servir el pla abans d’escriure una sola reserva.
Amb duplicate-cn, diverses sessions simultànies poden presentar el mateix nom comú, de manera que una adreça fixada no les pot identificar individualment. Això és una propietat del model d’identitat, no una cosa que un pla d’adreces millor pugui arreglar.
Reserva adreces fora del rang dinàmic
En una xarxa amb topologia de subxarxa com 10.90.0.0/24, reserva les adreces baixes per als membres amb nom i posa el pool dinàmic en un rang disjunt. Una assignació per a un membre fixat té aquest aspecte ifconfig-push 10.90.0.10 255.255.255.0 al fitxer que el servidor selecciona per a aquesta identitat. El segon argument significa una cosa diferent amb net30, així que l’exemple no és neutral respecte a la topologia. Llegeix la topologia abans de copiar-lo.
La persistència del pool enregistra els contractes recents i tendeix a tornar la mateixa adreça, cosa que és una comoditat i no una reserva. No deixis que el fitxer de persistència esdevingui el registre de propietat, perquè canvia amb l’historial de connexions i no amb la política.
La precedència de l’assignació decideix qui guanya
El manual documenta un ordre: una assignació explícita generada durant el client-connect pot tenir efecte abans que una entrada de client-config-dir, que al seu torn precedeix l’assignació ordinària del pool. Aquest ordre explica la majoria d’informes «l’adreça fixada no s’ha aplicat». També significa que un assignador dinàmic que escriu configuració per sessió pot substituir silenciosament un fitxer estàtic que creies autoritatiu.
Tria una capa que posseeixi les assignacions i fes que les altres siguin només de lectura. Dues capes que totes dues afirmen decidir produeixen assignacions que depenen del moment.
Un assignador dinàmic necessita el mateix model
Una integració de client-connect que reparteix adreces per sessió és un assignador petit amb els problemes habituals dels assignadors. Ha de validar la identitat sol·licitant, reservar una adreça de manera atòmica, emetre només la sortida per connexió admesa i alliberar la reserva en desconnectar o fallar. Les sol·licituds concurrents necessiten un bloqueig o una restricció de base de dades, no una seqüència de llegir i després escriure. Sense neteja, el pool perd adreces fins a un reinici.
Mantén l’estat de l’assignador on el següent operador el pugui llegir i registra la decisió identitat-a-adreça, no només l’adreça.
Decideix si l’adreça és política o comoditat
Si una regla de tallafocs o una ruta permet trànsit des d’una adreça de túnel, aleshores l’adreça participa en la política d’accés i una reassignació n’hereta el permís. Coordina el cicle de vida de la identitat, l’adreça i el tallafocs, o lliga la regla a una cosa que no es pugui reassignar. L’adreçament estable fa llegible la configuració; no substitueix l’autenticació.
Escriu el pla com un inventari amb un propietari per entrada i revisa’l quan es retiri un dispositiu. La reserva no utilitzada és la que es reutilitza per accident.