Staatilised OpenVPN-kliendi aadressid OPNsense’i taga
Basseinifail muudab aadressi kleepuvaks, mitte püsivaks. Kinnitage kliendi aadressid alistuste abil, laiendage tunnelivahemikku /30 aritmeetika jaoks ja avaldage need seejärel.
Nimed vajavad aadresse, mis ei liigu, ja OpenVPNi basseinifail muudab aadressi ainult kleepuvaks. Kaotage see fail või andke sertifikaat uuesti välja teise üldnime all, ja naasev klient maandub basseinis mujale, samal ajal kui tema DNS-kirje osutab endiselt vanale aadressile. Püsiv vastus on kliendipõhine alistus, mis aadressi kinni paneb, pluss laiem tunnelivõrk, et kinnitatud aadressid asuksid dünaamilisest vahemikust väljas. Selle laienduse taga olev aritmeetika on koht, kus suurem osa segadusest elab.
OPNsense hoiab neid alistusi serveri kliendipõhistes seadetes, võtmeks sertifikaadi üldnimi, mis teeb üldnimest aadressiplaani osa.
Kleepuv rent ei ole staatiline aadress
Basseinifail kirjutab aadressi ja kliendi vastendused ning annab need tagasi, kui tuntud klient uuesti ühendub. See on mugavus, mitte leping: faili saab uuesti genereerida, vastendus kaob, kui kliendi identiteet muutub, ja kaks basseini jagavat serverit ei jõua selles kokkuleppele. Kliendipõhine alistus töötab teisiti, sest aadress tuleb konfiguratsioonist, mitte ajaloost. See elab üle ka seadme taaskäivituse ja uuesti paigaldamise, eeldusel et alistus varundatakse koos ülejäänud konfiguratsiooniga.
Dünaamiline alternatiiv, VPN-i ühendamine DNS-iga kliendiühenduse skripti ja dünaamiliste värskenduste abil, töötab ning nõuab resolverit, mis värskendusi vastu võtab, pluss skripti igal ühendusel. Seadmes olete piiratud pakettidega, mida tootja tarnib, ja tavaliselt lõpeb see plaan just seal.
/30 aritmeetika, mida keegi ei naudi
Vaikimisi net30 topoloogia korral saab iga klient oma /30: esimene kasutatav aadress läheb serveri poolele, teine kliendile. Seetõttu peavad alistused asuma väljaspool serveri dünaamilist tunnelivõrku, mis tähendab, et kõigepealt tuleb seda võrku laiendada. Server aadressil 10.8.0.0/24 saab liikuda aadressile 10.8.0.0/23, jättes poole vanast vahemikust dünaamilistele klientidele ja teise poole alistustele. Lisage algne /24 täiendava kohaliku IPv4-võrguna, et liiklus mõlemasse poolde suunduks tunnelisse.
Iga alistuse aadress peab langema /30 piirile, seega viimane oktett on nelja kordne. /30 aadressil 10.8.1.0 annab kliendile 10.8.1.2 ja see on aadress, mida DNS-kirje kannab. Kui valite selle asemel 10.8.1.3, saate kliendi, mis ühendub ja ei suuda liiklust läbi lasta, sest aadress kuulub alamvõrku, mida topoloogia talle kunagi ei määranud.
Plaani on lihtsam hoida, kui alistused eraldatakse laiendatud vahemiku ülaosast allapoole, nii et dünaamiline bassein laieneb vabasse ruumi, mitte ümber fikseeritud saarte.
Kohalikud võrgud ja tsoon, mida kliendid küsivad
Kliendilt kliendile liiklus vajab oma luba. Serveri kohalike IPv4-võrkude loend peab sisaldama vahemiku mõlemat poolt, dünaamilist ja staatilist; ilma selleta võtab server vastu paketi ühelt kliendilt ega oma poliitikat, mis lubaks selle teisele läbi. Sümptom loeb nagu DNS-i tõrge, sest nimi laheneb ja ühendus siiski ebaõnnestub. Kontrollige samal ajal ka kliendilt kliendile seadet, sest üksnes kohaliku võrgu kirje ei võimalda partnerite vahel edastamist.
Avaldage kirjed tsoonis, mida kaugkliendid tegelikult küsivad. Ainult LAN-resolveri teenindatavas tsoonis olev kirje on nähtamatu kliendile, kelle lükatud resolver osutab mujale, ja rohkemate kirjete lisamine valesse tsooni ei paranda seda kunagi. Kinnitage lükatud DNS-valik ja otsingudomeen enne millegi lisamist.
Mida uuel ühendusel kontrollida
Ühendage klient uuesti ja kinnitage, et määratud aadress vastab tema alistusele, enne kui midagi muud testite. Seejärel lahendage nimi teisest kliendist ja ühenduge teenusega nime kaudu, mis proovib korraga DNS-kirjet, marsruuti ja tulemüüri. Kinnitage vastusetee serveri poolel, sest nimi, mis laheneb, samal ajal kui teenus jääb kättesaamatuks, on marsruutimise või poliitika probleem, mitte nimetamise oma. Hoidke alistuste tabel sertifikaatide loendi kõrval, et mõlemat korraga üle vaadata.
Teise üldnime all uuesti välja antud sertifikaat lakkab oma alistusega sobimast ja saadab kliendi tagasi dünaamilisse basseini. Oodake seda pärast igasugust identiteedimuutust.