Οι σταθερές διευθύνσεις OpenVPN πρέπει να ακολουθούν την ταυτότητα, όχι τη διεύθυνση IP προέλευσης

Τα σχέδια διευθύνσεων που λένε «αυτό το φορητό παίρνει 10.90.0.10» είναι στην πραγματικότητα δηλώσεις για την ταυτότητα: ποια πιστοποιημένη συσκευή μπορεί να κρατήσει αυτή τη διεύθυνση. Η τρέχουσα δημόσια IP αυτής της συσκευής δεν έχει σχεδόν καμία σχέση, γιατί το NAT και η περιαγωγή την αλλάζουν χωρίς να αλλάζουν ποιος είναι ο χρήστης. Αν χτίσετε το σχέδιο πάνω στη διεύθυνση προέλευσης, παράγονται κανόνες που σπάνε στο πρώτο δίκτυο ξενοδοχείου. Αν το χτίσετε πάνω στην πιστοποιημένη ταυτότητα, παράγεται σχέδιο που αντέχει στα ταξίδια.

Ξεκινήστε από ό,τι μπορεί να επαληθεύσει ο διακομιστής και μετά αποφασίστε για τι χρησιμεύει η διεύθυνση.

Επιλέξτε το κλειδί ταυτότητας πριν από τη διεύθυνση

Ένα ξεχωριστό πιστοποιητικό πελάτη ανά συσκευή δίνει στον διακομιστή ένα σταθερό, επαληθεύσιμο κλειδί για κάθε μέλος, που είναι η καθαρότερη βάση για στατική ανάθεση. Μια εγκατάσταση με πιστοποίηση ανά χρήστη μπορεί να βασιστεί στο όνομα χρήστη, αρκεί η επιλογή διαμόρφωσης να ακολουθεί το ίδιο πεδίο. Η ανάμειξη των δύο μοντέλων παράγει αναθέσεις που ταιριάζουν με πιστοποιητικό για έναν πελάτη και με όνομα χρήστη για άλλον, και κανείς δεν μπορεί να προβλέψει ποιο θα επικρατήσει. Αποφασίστε ποιο κλειδί χρησιμοποιεί το σχέδιο πριν γράψετε έστω μία δέσμευση.

Με το duplicate-cn, πολλές ταυτόχρονες συνεδρίες μπορούν να παρουσιάσουν το ίδιο κοινό όνομα, οπότε μία καρφιτσωμένη διεύθυνση δεν μπορεί να τις αναγνωρίσει μεμονωμένα. Αυτό είναι ιδιότητα του μοντέλου ταυτότητας, όχι κάτι που μπορεί να διορθώσει ένα καλύτερο σχέδιο διευθύνσεων.

Δεσμεύστε διευθύνσεις έξω από το δυναμικό εύρος

Σε δίκτυο με τοπολογία υποδικτύου όπως 10.90.0.0/24, κρατήστε τις χαμηλές διευθύνσεις για ονομαστικά μέλη και βάλτε τη δυναμική δεξαμενή σε ξεχωριστό εύρος. Μια ανάθεση για καρφιτσωμένο μέλος μοιάζει έτσι ifconfig-push 10.90.0.10 255.255.255.0 στο αρχείο που επιλέγει ο διακομιστής για αυτή την ταυτότητα. Το δεύτερο όρισμα σημαίνει κάτι διαφορετικό στο net30, άρα το παράδειγμα δεν είναι ουδέτερο ως προς την τοπολογία. Διαβάστε την τοπολογία πριν το αντιγράψετε.

Η επιμονή της δεξαμενής καταγράφει πρόσφατες μισθώσεις και τείνει να επιστρέφει την ίδια διεύθυνση, κάτι που είναι ευκολία και όχι δέσμευση. Μην αφήσετε το αρχείο επιμονής να γίνει το αρχείο κυριότητας, γιατί αλλάζει με το ιστορικό συνδέσεων και όχι με την πολιτική.

Η προτεραιότητα ανάθεσης αποφασίζει ποιος κερδίζει

Το εγχειρίδιο τεκμηριώνει μια σειρά: μια ρητή ανάθεση που δημιουργείται κατά το client-connect μπορεί να τεθεί σε ισχύ πριν από μια καταχώριση client-config-dir, η οποία με τη σειρά της προηγείται της συνήθους κατανομής από τη δεξαμενή. Αυτή η σειρά εξηγεί τις περισσότερες αναφορές «η καρφιτσωμένη διεύθυνση δεν εφαρμόστηκε». Σημαίνει επίσης ότι ένας δυναμικός κατανεμητής που γράφει διαμόρφωση ανά συνεδρία μπορεί να υπερισχύσει σιωπηλά ενός στατικού αρχείου που θεωρούσατε αυθεντικό.

Επιλέξτε ένα επίπεδο που κατέχει τις αναθέσεις και κάντε τα άλλα μόνο για ανάγνωση. Δύο επίπεδα που και τα δύο ισχυρίζονται ότι αποφασίζουν παράγουν αναθέσεις που εξαρτώνται από τον χρόνο.

Ένας δυναμικός κατανεμητής χρειάζεται το ίδιο μοντέλο

Μια ενσωμάτωση client-connect που μοιράζει διευθύνσεις ανά συνεδρία είναι ένας μικρός κατανεμητής με τα συνήθη προβλήματα κατανεμητή. Πρέπει να επαληθεύει την ταυτότητα του αιτούντος, να δεσμεύει μια διεύθυνση ατομικά, να εκπέμπει μόνο την υποστηριζόμενη έξοδο ανά σύνδεση και να απελευθερώνει τη δέσμευση κατά την αποσύνδεση ή την αποτυχία. Τα ταυτόχρονα αιτήματα χρειάζονται κλείδωμα ή περιορισμό βάσης δεδομένων, όχι ακολουθία ανάγνωσης-και-μετά-εγγραφής. Χωρίς καθαρισμό, η δεξαμενή χάνει διευθύνσεις μέχρι την επανεκκίνηση.

Κρατήστε την κατάσταση του κατανεμητή εκεί όπου μπορεί να τη διαβάσει ο επόμενος χειριστής και καταγράψτε την απόφαση ταυτότητα-προς-διεύθυνση, όχι μόνο τη διεύθυνση.

Αποφασίστε αν η διεύθυνση είναι πολιτική ή ευκολία

Αν ένας κανόνας τείχους προστασίας ή μια διαδρομή επιτρέπει κίνηση από μία διεύθυνση σήραγγας, τότε η διεύθυνση συμμετέχει στην πολιτική πρόσβασης και μια εκ νέου ανάθεση κληρονομεί αυτή την άδεια. Συντονίστε τον κύκλο ζωής ταυτότητας, διεύθυνσης και τείχους προστασίας ή δέστε τον κανόνα σε κάτι που δεν μπορεί να ανατεθεί ξανά. Η σταθερή διευθυνσιοδότηση κάνει τη διαμόρφωση αναγνώσιμη· δεν αντικαθιστά την πιστοποίηση.

Γράψτε το σχέδιο ως απογραφή με ιδιοκτήτη ανά εγγραφή και μετά ελέγξτε το όταν μια συσκευή αποσύρεται. Η αχρησιμοποίητη δέσμευση είναι αυτή που επαναχρησιμοποιείται κατά λάθος.