Στατική IP OpenVPN ανά πελάτη: ifconfig-push, όχι ipp.txt

Η επεξεργασία μιας γραμμής στο ipp.txt μοιάζει με κράτηση διεύθυνσης, αλλά δεν είναι. Αυτό το αρχείο, που ονομάζεται από το ifconfig-pool-persist, καταγράφει ποια διεύθυνση είχε ένα κοινό όνομα την τελευταία φορά, ώστε η δεξαμενή να μπορεί να επιστρέψει την ίδια όταν αυτό βολεύει. Τίποτα μέσα του δεν δεσμεύει την επόμενη σύνδεση σε αυτόν τον αριθμό.

Εκτελέστε τους παρακάτω ελέγχους με τη σειρά. Κάθε ένας είτε επιβεβαιώνει τον μηχανισμό είτε σας λέει να σταματήσετε και να διορθώσετε μια είσοδο.

Σε τι χρησιμεύει το αρχείο επιμονής

Το αρχείο υπάρχει για να κρατά τις διευθύνσεις σταθερές ανάμεσα σε επανεκκινήσεις, γεγονός που κάνει τις επανασυνδέσεις φιλικότερες και τα αρχεία καταγραφής ευκολότερα στην ανάγνωση. Διαβάζεται ως ιστορικό και γράφεται ως ιστορικό, και η διαδρομή κατανομής μένει ελεύθερη να διαλέξει άλλη διεύθυνση όταν η υπόδειξη δεν ταιριάζει: διαφορετική δεξαμενή, αντικρουόμενη ανάθεση ή πελάτης που έφτασε αφού γέμισε η δεξαμενή. Γι' αυτό μια χειροκίνητη επεξεργασία μπορεί να φαίνεται τέλεια στο αρχείο και να μην αλλάζει τίποτα στη σύνδεση. Αντιμετωπίστε το ως μνήμη προηγούμενων αποφάσεων και όχι ως πηγή πολιτικής.

Αν χρειάζεστε μια συγκεκριμένη διεύθυνση για έναν συγκεκριμένο πελάτη, ο τεκμηριωμένος μηχανισμός είναι το ifconfig-push, και ανήκει στη διαμόρφωση που κατέχει αυτόν τον πελάτη.

Ελέγξτε ότι έχει επιλεγεί ο σωστός πελάτης

Μια ρητή ανάθεση αναζητείται με το κοινό όνομα του πελάτη, οπότε ένα αρχείο που ονομάστηκε για λάθος ταυτότητα απλώς δεν διαβάζεται ποτέ. Επιβεβαιώστε τι θεωρεί ο διακομιστής ως όνομα αυτού του πελάτη, ειδικά εκεί όπου το username-as-common-name το αλλάζει μετά την ταυτοποίηση. Έπειτα επιβεβαιώστε ότι το όνομα του αρχείου ταιριάζει ακριβώς με αυτή την τιμή, συμπεριλαμβανομένης της διάκρισης πεζών-κεφαλαίων.

Σκεφτείτε τον παραλληλισμό όσο είστε εδώ. Αν επιτρέπεται το duplicate-cn, πολλές συσκευές μπορούν να παρουσιάσουν την ίδια ταυτότητα, και μία σταθερή διεύθυνση δεν μπορεί να είναι μοναδική για όλες. Αποφασίστε αν η σταθερή διεύθυνση αξίζει να αρνηθείτε ταυτόχρονες συνεδρίες για αυτή την ταυτότητα, γιατί αυτές οι δύο απαιτήσεις δεν μπορούν να ικανοποιηθούν ταυτόχρονα.

Ελέγξτε ότι οι αριθμοί ταιριάζουν με την τοπολογία

Η σημασία των ορισμάτων εξαρτάται από την τοπολογία του σήραγγα, και εδώ ένα αντιγραμμένο παράδειγμα προκαλεί τη μεγαλύτερη ζημιά. Στη παλαιότερη διάταξη net30 κάθε πελάτης καταλαμβάνει ένα μπλοκ τεσσάρων διευθύνσεων, οπότε το push παρέχει ένα ζεύγος διευθύνσεων. Στην τοπολογία υποδικτύου ο πελάτης λαμβάνει μία διεύθυνση συν τη μάσκα της δεξαμενής, και η μορφή ζεύγους είναι λάθος. Διαβάστε την τοπολογία από τη διαμόρφωση που εκτελείται πριν γράψετε τη γραμμή.

# /etc/openvpn/ccd/partner-a   (subnet topology)
ifconfig-push 10.44.0.61 255.255.255.0

Ελέγξτε τη διεύθυνση απέναντι σε ό,τι άλλο θα μπορούσε να την κατέχει: άλλη ρητή ανάθεση, το εύρος της δυναμικής δεξαμενής και οποιαδήποτε στατική διαδρομή που υποθέτει σταθερό κεντρικό υπολογιστή. Μια διεύθυνση που επικαλύπτει τη δεξαμενή θα λειτουργεί μέχρι η δεξαμενή να τη δώσει σε κάποιον άλλον, και αυτή η αποτυχία θα φαίνεται τυχαία.

Ελέγξτε το αποτέλεσμα σε μια νέα σύνδεση

Μια υπάρχουσα συνεδρία κρατά τη διεύθυνση που της δόθηκε, οπότε η μόνη ουσιαστική δοκιμή είναι μια νέα σύνδεση. Αποσυνδέστε τον πελάτη, συνδεθείτε ξανά και διαβάστε τη διεύθυνση που έλαβε πραγματικά μαζί με τις διαδρομές που ήρθαν μαζί της. Αν η διεύθυνση είναι ακόμη δυναμική, η ανάθεση δεν εφαρμόστηκε, και το επόμενο βήμα είναι η αναζήτηση στη διαμόρφωση και όχι άλλη μια αλλαγή στο αρχείο ιστορικού.

Κρατήστε τα στοιχεία μαζί: το όνομα του πελάτη, το αρχείο που ταίριαξε, τη διεύθυνση που ανατέθηκε και τη δεξαμενή από την οποία προήλθε.

Τέλος, μια σταθερή διεύθυνση σήραγγας δεν είναι διαπιστευτήριο συσκευής. Υποδεικνύει μια θέση στο σχέδιο διευθύνσεων, ενώ η ταυτοποίηση εξακολουθεί να στηρίζεται στο πιστοποιητικό και στον λογαριασμό. Η σύγχυση των δύο μετατρέπει μια σύγκρουση διευθύνσεων σε υπόθεση ασφαλείας που δεν κατέγραψε κανείς.