Cyfeiriadau cleient OpenVPN statig y tu ôl i OPNsense

Mae angen cyfeiriadau na symudant ar enwau, a dim ond ei wneud yn ludiog y mae ffeil cronfa OpenVPN. Collwch y ffeil honno, neu ailosodwch dystysgrif o dan enw cyffredin gwahanol, a bydd y cleient sy’n dychwelyd yn glanio yn rhywle arall yn y gronfa tra bo ei gofnod DNS yn dal i bwyntio at yr hen gyfeiriad. Yr ateb parhaol yw trosysgrifiad sy’n benodol i’r cleient sy’n pinio’r cyfeiriad, ynghyd â rhwydwaith twmnel ehangach fel bod cyfeiriadau wedi’u pinio yn eistedd y tu allan i’r ystod ddeinamig. Y rhifyddeg y tu ôl i’r ehangu hwnnw yw lle mae’r rhan fwyaf o’r dryswch yn byw.

Mae OPNsense yn cadw’r trosysgrifiadau hynny yng ngosodiadau penodol i’r cleient ar y gweinydd, wedi’u hallweddu gan enw cyffredin y dystysgrif, sy’n gwneud yr enw cyffredin yn rhan o’r cynllun cyfeiriadau.

Nid yw les ludiog yn gyfeiriad statig

Mae’r ffeil cronfa yn ysgrifennu mapiau cyfeiriad-i-gleient ac yn eu dychwelyd pan fydd cleient hysbys yn ailgysylltu. Mae hynny’n gyfleustra yn hytrach na chontract: gellir ailgynhyrchu’r ffeil, mae’r map yn diflannu pan fydd hunaniaeth y cleient yn newid, ac ni fydd dau weinydd sy’n rhannu cronfa yn cytuno arno. Mae trosysgrifiad sy’n benodol i’r cleient yn gweithio’n wahanol, oherwydd daw’r cyfeiriad o ffurfweddiad yn hytrach nag o hanes. Mae hefyd yn goroesi ailgychwyn ac ailosodiad o’r teclyn, ar yr amod bod y trosysgrifiad yn cael ei gefnogi gyda gweddill y ffurfweddiad.

Mae’r dewis deinamig, sef gwifro’r VPN i mewn i DNS gyda sgript cysylltu cleient a diweddariadau deinamig, yn gweithio ac yn gofyn am ddatryswr sy’n derbyn diweddariadau ynghyd â sgript ar bob cysylltiad. Ar declyn, rydych wedi’ch cyfyngu i’r pecynnau y mae’r gwerthwr yn eu cyflenwi, a dyna fel arfer lle mae’r cynllun hwnnw’n stopio.

Y rhifyddeg /30 nad oes neb yn ei mwynhau

O dan y topoleg net30 diofyn, mae pob cleient yn cael ei /30 ei hun: aiff yr cyfeiriad defnyddiadwy cyntaf i ochr y gweinydd, a’r ail i’r cleient. Felly mae’n rhaid i drosysgrifiadau eistedd y tu allan i rwydwaith twmnel deinamig y gweinydd, sy’n golygu ehangu’r rhwydwaith hwnnw yn gyntaf. Gall gweinydd ar 10.8.0.0/24 symud i 10.8.0.0/23, gan adael hanner yr hen ystod ar gyfer cleientiaid deinamig a’r hanner arall ar gyfer trosysgrifiadau. Ychwanegwch yr /24 gwreiddiol fel rhwydwaith lleol IPv4 ychwanegol fel bod traffig i’r ddwy ran yn llifo i’r twmnel.

Rhaid i bob cyfeiriad trosysgrifiad lanio ar ffin /30, felly mae’r octed olaf yn lluosrif o bedwar. Mae /30 ar 10.8.1.0 yn rhoi 10.8.1.2 i’r cleient, a dyna’r cyfeiriad y mae’r cofnod DNS yn ei gario. Mae dewis 10.8.1.3 yn lle hynny yn cynhyrchu cleient sy’n cysylltu ac yn methu â throsglwyddo traffig, oherwydd mae’r cyfeiriad yn perthyn i isrwydwaith na wnaeth y topoleg ei neilltuo iddo erioed.

Mae’r cynllun yn haws i’w gynnal os bydd trosysgrifiadau’n cael eu dyrannu o ben uchaf yr ystod ehangach tuag i lawr, fel bod y gronfa ddeinamig yn ehangu i ofod rhydd yn hytrach nag o amgylch ynysoedd sefydlog.

Rhwydweithiau lleol a’r parth y mae cleientiaid yn holi

Mae angen caniatâd ei hun ar draffig cleient-i-gleient. Rhaid i restr rhwydweithiau lleol IPv4 y gweinydd gynnwys dau hanner yr ystod, deinamig a statig; hebddo mae’r gweinydd yn derbyn pecyn gan un cleient ac nid oes ganddo bolisi sy’n caniatáu ei basio i un arall. Mae’r symptom yn darllen fel methiant DNS, oherwydd mae’r enw’n datrys ac mae’r cysylltiad yn dal i fethu. Gwiriwch y gosodiad cleient-i-gleient ar yr un pryd, gan nad yw cofnod rhwydwaith lleol ar ei ben ei hun yn galluogi anfon ymlaen rhwng cymheiriaid.

Cyhoeddwch y cofnodion yn y parth y mae cleientiaid anghysbell yn holi ynddo mewn gwirionedd. Mae cofnod mewn parth a wasanaethir gan ddatryswr LAN yn unig yn anweledig i gleient y mae ei ddatryswr gwthiedig yn pwyntio i rywle arall, ac nid yw ychwanegu mwy o gofnodion i’r parth anghywir byth yn trwsio hynny. Cadarnhewch yr opsiwn DNS gwthiedig a’r parth chwilio cyn ychwanegu unrhyw beth.

Beth i’w wirio ar gysylltiad newydd

Ailgysylltwch y cleient a chadarnhau bod y cyfeiriad a neilltuwyd yn cyfateb i’w drosysgrifiad cyn profi unrhyw beth arall. Yna datryswch yr enw o ail gleient a chysylltwch â’r gwasanaeth wrth ei enw, sy’n profi’r cofnod DNS, y llwybr a’r wal dân gyda’i gilydd. Cadarnhewch y llwybr ateb ar ochr y gweinydd, gan fod enw sy’n datrys tra bo’r gwasanaeth yn parhau’n anghyraeddadwy yn broblem llwybro neu bolisi yn hytrach na phroblem enwi. Cadwch y tabl trosysgrifiadau wrth ymyl y rhestr dystysgrifau fel bod y ddau yn cael eu hadolygu gyda’i gilydd.

Mae tystysgrif a ailosodwyd o dan enw cyffredin gwahanol yn peidio â chyfateb i’w throsysgrifiad ac yn dychwelyd y cleient i’r gronfa ddeinamig. Disgwyliwch hynny ar ôl unrhyw newid hunaniaeth.