Gweinydd OpenVPN gyda nopool: datganwch amrediad pwll penodol

Mae cynorthwywyr gweinydd yn ffurfweddu isrwydwaith ac yna’n ei lenwi â phwll deinamig o’u dewis eu hunain. Mae’r rhagosodiad hwnnw’n gyfleus nes bod rhaid i rai cyfeiriadau aros y tu allan i’r dyrannu, boed wedi’u cadw ar gyfer aseinadau sefydlog neu wedi’u hatal ar gyfer segment yn y dyfodol. Mae atal y pwll awtomatig a datgan yr amrediad eich hun yn cymryd dwy linell ac un penderfyniad bwriadol ynglŷn â pha gyfeiriadau nad ydynt ar gyfer dyrannu. Disgyblaeth weithredol yw’r gweddill: stocrestru, cymhwyso, gwirio, a chymryd yn ôl.

Mae hwn yn newid i wasanaeth sy’n gweithio, felly triniwch ef fel tasg weithredol: stocrestru yn gyntaf, cymhwyso drwy’r cylch bywyd arferol, gwirio gyda chleient newydd, a chadw dull o gymryd yn ôl.

Dechreuwch o’r isrwydwaith sydd gennych yn barod

Darllenwch ffurfweddiad presennol y gweinydd a’r cyfeiriadau y mae cleientiaid yn eu dal mewn gwirionedd. Dim ond yn erbyn y llinell sylfaen honno y mae newid y pwll yn gwneud synnwyr, ac nid yw’r llinell sylfaen bob amser yn cyd-fynd â’r hyn y mae’r ffeil yn ei awgrymu, oherwydd gall cynnyrch a reolir neu gynhyrchydd ffurfweddu fod yn berchen ar y ffeil yr ydych yn ei darllen.

grep -nE '^(topology|server|ifconfig-pool|max-clients|client-config-dir)' /etc/openvpn/server/lab.conf
ip -4 addr show tun0

Cadarnhewch y topoleg sydd mewn grym. O dan dopoleg isrwydwaith mae pob cleient yn cymryd un cyfeiriad o’r pwll; mae cynlluniau net30 hŷn yn dyrannu bloc bach i bob cleient ac mae’r rhifyddeg yn hollol wahanol. Os yw’r gweinydd yn dal ar net30, y dudalen hon yw’r canllaw mudo anghywir ac ni fydd rhifau’r pwll yn golygu’r hyn yr ydych yn ei ddisgwyl. Gwiriwch y linell honno cyn copïo rhifyddeg cyfeiriadau o unrhyw le arall.

Nodwch gyfeiriad y gweinydd ei hun, pob aseiniad sefydlog yn y cyfeiriadur ffurfweddu cleientiaid, ac unrhyw gyfeiriad y mae llwybr neu reol fynediad yn dibynnu arno. Dyma’r cyfeiriadau y mae’n rhaid iddynt aros y tu allan i’r amrediad deinamig. Nodi’r rheini yn gyntaf sy’n gwneud yr amrediad yn benderfyniad yn hytrach nag yn ddyfaliad. Mae hefyd yn rhoi rhywbeth pendant i’r dull cymryd yn ôl ei adfer.

Ychwanegwch nopool a datgan yr amrediad

Mae’r allweddair cynorthwyol yn derbyn nopool, sy’n cadw ffurfweddiad yr isrwydwaith ac yn atal y pwll deinamig awtomatig, fel y mae llawlyfr OpenVPN 2.6 yn ei ddisgrifio. Yna mae’r linell benodol ifconfig-pool yn darparu’r amrediad cynhwysol yr ydych yn ei fwriadu, ac mae ei mwgwd rhwydwaith yn cyfateb i’r isrwydwaith. Mae’r ddwy linell yn perthyn i’r un bloc gweinydd, oherwydd nid oes ystyr i bwll heb ei isrwydwaith. Dim ond er darllenadwyedd y mae’r drefn rhyngddynt yn bwysig, gan fod y cynorthwyydd yn ehangu’r pâr pan fydd y gwasanaeth yn cychwyn.

topology subnet
server 10.70.0.0 255.255.255.0 nopool
ifconfig-pool 10.70.0.50 10.70.0.120 255.255.255.0

Mae’r ddau derfyn yn gynhwysol, felly mae’r enghraifft yn cynnig un ar ddeg a thrigain o gyfeiriadau. Cadwch gyfeiriad y gweinydd a phob aseiniad sefydlog y tu allan i’r rhychwant hwnnw; mae aseiniad sefydlog sy’n disgyn o fewn yr amrediad deinamig yn creu gwrthdrawiad sy’n dibynnu ar drefn y cysylltiadau, a dyna’r math gwaethaf i’w ddadfygio. Gadewch ymyl rhwng y set a gedwir a’r amrediad os yw aseinadau sefydlog yn debygol o dyfu.

Mae maint yr amrediad a chydamseredd yn derfynau ar wahân. Nid yw cant o gyfeiriadau yn golygu cant o gleientiaid ar yr un pryd os yw max-clients yn dweud fel arall, ac mae pwll sy’n fwy na’r terfyn cydamseredd yn arferol yn hytrach nag yn wastraff. Y peth sy’n bwysig yw bod y ddau derfyn yn cael eu dewis yn fwriadol yn hytrach na’u hetifeddu o ragosodiad.

Cadwch aseinadau sefydlog allan o’r amrediad deinamig

Mae ifconfig-push sy’n benodol i gleient yn fecanwaith gwahanol i ddosrannu o bwll, ac mae’n rhaid iddo ddefnyddio paramedrau sy’n addas i’r dopoleg weithredol. Yn y modd isrwydwaith un cyfeiriad a mwgwd rhwydwaith sydd yno; mae cludo pâr net30 oherwydd ei fod wedi ymddangos mewn hen enghraifft yn gamgymeriad cyffredin.

Mae hanes dyrannu yn awgrym, nid yn awdurdod. Mae ffeil persist yn cofio pa gleient oedd â pha gyfeiriad, felly mae cleientiaid sy’n ailgysylltu yn tueddu i gael yr un un, ac nid yw’n cadw cyfeiriadau, yn eu rhyddhau nac yn disodli aseiniad sefydlog. Os oes rhaid i ddyfais benodol ddal cyfeiriad penodol bob amser, defnyddiwch aseiniad sefydlog yn hytrach na dibynnu ar y ffeil persist.

Yna gwiriwch y llwybrau sy’n dibynnu ar gyfeiriadau. Gall llwybr a wthir at gleientiaid, rheol mur gwarchod sy’n caniatáu isrwydwaith, neu wiriad monitro sy’n disgwyl gwesteiwr penodol i gyd dybio’r hen amrediad. Mae newid y pwll heb eu darllen yn symud y methiant i le sy’n edrych yn ddigyswllt.

Cymhwyswch drwy’r cylch bywyd, yna gwiriwch

Cymhwyswch y newid fel y mae’r gwasanaeth fel arfer yn derbyn ffurfweddiad, boed yn ffeil uniongyrchol gyda ailgychwyn neu’n haen rheoli sy’n ailgynhyrchu’r ffeil. Mae golygu â llaw ar ffeil a gynhyrchir yn para hyd y gynhyrfa nesaf, ac nid yn hwy. Cofnodwch pa fecanwaith sy’n berchen ar y ffeil, oherwydd bydd angen i’r gweithredwr nesaf wybod ble i wneud yr un newid. Yna ailgychwynwch unwaith a darllenwch y log cyn gwahodd cleient.

systemctl restart openvpn-server@lab
journalctl -u openvpn-server@lab -n 30 --no-pager
# on a fresh client
ip -4 addr show tun0

Cysylltwch gleient nad oedd wedi cysylltu o’r blaen a chadarnhau bod y cyfeiriad yn disgyn o fewn yr amrediad a ddatganwyd ac y tu allan i’r set a gedwir. Yna cadarnhewch y llwybr yn ôl: dylai’r cleient gyrraedd yr hyn y mae’r polisi’n ei ganiatáu a dim mwy. Nid yw cyfeiriad sy’n cyd-fynd â’r cynllun ond heb lwybr gweithredol yn newid llwyddiannus.

Ailgysylltwch gleient oedd yn dal cyfeiriad o’r hen amrediad. Dylai gael cyfeiriad o’r amrediad newydd, a dylai unrhyw gyflwr ar lefel sesiwn sy’n gysylltiedig â’r hen gyfeiriad fod wedi diflannu. Os yw’n cadw’r hen gyfeiriad, mae rhywbeth arall yn ei ddyrannu ac nid y pwll yw’r perchennog yr ydych yn ei feddwl.

Cymryd yn ôl newid amrediad

Cadwch y tair linell flaenorol yn eich cofnod newid, nid y ffeil flaenorol yn unig. Mae eu hadfer a’u hailgychwyn yn dychwelyd dyrannu i’r hen ymddygiad, a bydd cleientiaid sy’n ailgysylltu wedyn yn cael cyfeiriadau ohono.

Mae dwy rybudd yn perthyn i’r cofnod. Mae cleientiaid sydd eisoes wedi cysylltu pan fyddwch yn cymryd yn ôl yn cadw eu cyfeiriadau presennol nes iddynt ailgysylltu, felly nid yw cymryd yn ôl yn uniongyrchol ar draws y fflyd. Ac os oedd yr hen amrediad yn gorgyffwrdd ag aseiniad sefydlog, mae ei adfer yn adfer y gwrthdrawiad hefyd; y gorgyffwrdd hwnnw yw’r rheswm dros y newid, ac mae angen trwsio gwahanol iddo na chymryd yn ôl.

Mae newid pwll wedi gorffen pan fydd cleient newydd yn cael cyfeiriad o fewn yr amrediad, na roddir cyfeiriad a gedwir byth, ac mae’r llwybrau a’r rheolau sy’n defnyddio’r cyfeiriadau hynny yn parhau i ymddwyn fel y bwriadwyd. Mae unrhyw beth llai yn gadael i’r person nesaf ddarganfod pa un o’r tri nad yw’n wir.