Dylai cyfeiriadau OpenVPN sefydlog ddilyn hunaniaeth, nid IP ffynhonnell

Mae cynlluniau cyfeiriad sy’n dweud ‘mae’r gliniadur hwn yn cael 10.90.0.10’ mewn gwirionedd yn ddatganiadau am hunaniaeth: pa ddyfais ddilysedig all ddal y cyfeiriad hwnnw. Nid oes fawr ddim i’w wneud ag IP cyhoeddus presennol y ddyfais honno, oherwydd mae NAT a chrwydro yn ei newid heb newid pwy yw’r defnyddiwr. Mae adeiladu’r cynllun ar y cyfeiriad ffynhonnell yn cynhyrchu rheolau sy’n torri ar y rhwydwaith gwesty cyntaf. Mae ei adeiladu ar yr hunaniaeth ddilysedig yn cynhyrchu cynllun sy’n goroesi teithio.

Dechreuwch o’r hyn y gall y gweinydd ei wirio, yna penderfynwch beth yw pwrpas y cyfeiriad.

Dewiswch allwedd hunaniaeth cyn y cyfeiriad

Mae tystysgrif cleient ar wahân ar gyfer pob dyfais yn rhoi allwedd sefydlog a gwirioadwy i’r gweinydd ar gyfer pob aelod, sef y sail lanaf ar gyfer dynodiad statig. Gall defnydd ar draws y seilwaith sy’n defnyddio dilysu fesul defnyddiwr bwyso ar yr enw defnyddiwr yn lle hynny, cyhyd ag y bydd y dewis cyfluniad yn dilyn yr un maes. Mae cymysgu’r ddau fodel yn cynhyrchu dynodiadau sy’n cyfateb i dystysgrif ar gyfer un cleient ac enw defnyddiwr ar gyfer un arall, ac ni all neb ragweld pa un fydd yn ennill. Penderfynwch pa allwedd y mae’r cynllun yn ei defnyddio cyn ysgrifennu un gadwraeth.

Gyda duplicate-cn, gall sawl sesiwn ar yr un pryd gyflwyno’r un enw cyffredin, felly ni all un cyfeiriad wedi’i binio eu hadnabod yn unigol. Mae hynny’n briodwedd o’r model hunaniaeth, nid rhywbeth y gall cynllun cyfeiriad gwell ei drwsio.

Cadwch gyfeiriadau y tu allan i’r amrediad deinamig

Mewn rhwydwaith â thopoleg is-rwydwaith fel 10.90.0.0/24, cadwch y cyfeiriadau isel ar gyfer aelodau a enwir a rhowch y pwll deinamig mewn amrediad ar wahân. Mae dynodiad ar gyfer aelod wedi’i binio yn edrych fel hyn ifconfig-push 10.90.0.10 255.255.255.0 yn y ffeil y mae’r gweinydd yn ei dewis ar gyfer yr hunaniaeth honno. Mae’r ail ddadl yn golygu rhywbeth gwahanol o dan net30, felly nid yw’r enghraifft yn niwtral o ran topoleg. Darllenwch y dopoleg cyn ei chopïo.

Mae dyfalbarhad y pwll yn cofnodi lesddaliadau diweddar ac yn tueddu i ddychwelyd yr un cyfeiriad, sy’n hwylustod yn hytrach na chadwraeth. Peidiwch â gadael i’r ffeil ddyfalbarhad ddod yn gofnod perchnogaeth, oherwydd mae’n newid gyda hanes cysylltiadau yn hytrach na pholisi.

Mae blaenoriaeth dynodiad yn penderfynu pwy sy’n ennill

Mae’r llawlyfr yn dogfennu trefn: gall dynodiad penodol a gynhyrchwyd yn ystod client-connect ddod i rym cyn cofnod client-config-dir, sydd yn ei dro yn rhagflaenu dyraniad pwll arferol. Mae’r drefn honno’n esbonio’r rhan fwyaf o adroddiadau ‘ni chymhwyswyd y cyfeiriad wedi’i binio’. Mae hefyd yn golygu y gall dosbarthwr deinamig sy’n ysgrifennu cyfluniad fesul sesiwn ddiystyru’n dawel ffeil statig yr oeddech yn tybio ei bod yn awdurdodol.

Dewiswch un haen i fod yn berchen ar ddynodiadau a gwnewch y lleill yn ddarllen yn unig. Mae dwy haen sy’n honni’r ddwy eu bod yn penderfynu yn cynhyrchu dynodiadau sy’n dibynnu ar amseru.

Mae ar ddosbarthwr deinamig angen yr un model

Mae integreiddiad client-connect sy’n dosbarthu cyfeiriadau fesul sesiwn yn ddosbarthwr bach gyda phroblemau arferol dosbarthwr. Rhaid iddo ddilysu’r hunaniaeth sy’n gofyn, cadw cyfeiriad yn atomig, allyrru dim ond yr allbwn fesul cysylltiad a gefnogir, a rhyddhau’r gadwraeth wrth ddatgysylltu neu fethu. Mae angen clo neu gyfyngiad cronfa ddata ar geisiadau cydamserol, nid dilyniant darllen-ac-ysgrifennu. Heb lanhau, mae’r pwll yn gollwng cyfeiriadau nes ailgychwyn.

Cadwch gyflwr y dosbarthwr lle y gall y gweithredwr nesaf ei ddarllen, a chofnodwch y penderfyniad hunaniaeth-i-gyfeiriad yn hytrach na’r cyfeiriad yn unig.

Penderfynwch a yw’r cyfeiriad yn bolisi neu’n hwylustod

Os yw rheol wal dân neu lwybr yn caniatáu traffig o un cyfeiriad twnnel, yna mae’r cyfeiriad yn cymryd rhan ym mholisi mynediad ac mae ailddynodiad yn etifeddu’r caniatâd hwnnw. Cydlynwch gylch bywyd yr hunaniaeth, y cyfeiriad a’r wal dân, neu gloëwch y rheol ar rywbeth na ellir ei ailddynodi. Mae cyfeirio sefydlog yn gwneud y cyfluniad yn ddarllenadwy; nid yw’n disodli dilysu.

Ysgrifennwch y cynllun fel rhestr â pherchennog ar gyfer pob cofnod, yna adolygwch ef pan fydd dyfais yn cael ei hymddeol. Y gadwraeth nas defnyddiwyd yw’r un sy’n cael ei hailddefnyddio ar ddamwain.