OpenVPN zerbitzaria nopool-ekin: adierazi pool-tarte esplizitu bat

Zerbitzariaren laguntzaileek azpisare bat konfiguratzen dute eta gero beren erabakiz osatutako pool dinamiko batekin betetzen dute. Lehenetsitako hori erosoa da zenbait helbide esleipenetik kanpo geratu behar arte — bai esleipen finkoetarako erreserbatuta, bai etorkizuneko segmenturako gordeta. Pool automatikoa ezabatzeak eta tartearen beraren adierazpenak bi lerro eta esleipenerako ez dauden helbideei buruzko erabaki kontziente bat eskatzen ditu. Gainerakoa disziplina operatiboa da: inbentarioa, aplikazioa, egiaztapena, atzera-egitea.

Funtzionatzen ari den zerbitzu baten aldaketa da, beraz trata ezazu zeregin operatibo gisa: lehenik inbentarioa, ohiko bizi-zikloaren bidez aplikazioa, cliente berri batekin egiaztapena eta atzera-egite prest bat.

Hasi jadanik duzun azpisarearekin

Irakurri zerbitzariaren uneko konfigurazioa eta clienteek benetan dituzten helbideak. Poolaren aldaketak soilik du zentzurik oinarri horren aldean, eta oinarria ez da beti fitxategiak iradokitzen duena, produktu kudeatu batek edo konfigurazio-sorgailu batek irakurtzen ari zaren fitxategiaren jabea izan baitaiteke.

grep -nE '^(topology|server|ifconfig-pool|max-clients|client-config-dir)' /etc/openvpn/server/lab.conf
ip -4 addr show tun0

Egiaztatu indarrean dagoen topologia. Azpisare topologian cliente bakoitzak helbide bat hartzen du pooletik; net30 diseinu zaharrek bloke txiki bat esleitzen diote cliente bakoitzari eta aritmetika erabat desberdina da. Zerbitzaria oraindik net30-n badago, orri hau migrazio-gida okerra da eta poolaren zenbakiek ez dute espero duzuna esan nahiko. Egiaztatu lerro hori helbide-aritmetika beste nonbaitetik kopiatu aurretik.

Idatzi zerbitzariaren beraren helbidea, cliente-konfigurazioen direktorioko esleipen finko bakoitza eta ibilbide edo sarbide-arau batek menpe duen edozein helbide. Helbide horiek geratu behar dira tarte dinamikotik kanpo. Lehenik horiek idaztea da tartea asmakizun eta ez erabaki bihurrarazten duena. Atzera-egiteari berreskuratzeko zerbait zehatza ere ematen dio.

Gehitu nopool eta adierazi tartea

Laguntzailearen gako-hitzak nopool onartzen du, eta horrek azpisarearen konfigurazioa mantentzen du eta pool dinamiko automatikoa ezabatzen du, OpenVPN 2.6 eskuliburuak deskribatzen duen bezala. Ondoren, ifconfig-pool lerro esplizituak nahi duzun tarte barnekoia ematen du, eta haren sare-maskara azpisarearekin bat dator. Bi lerroak zerbitzari-bloke berean doaz, azpisarerik gabeko poolak ez baitu esanahirik. Haien arteko ordenak irakurgarritasunerako soilik balio du, laguntzaileak bikotea zerbitzua abiaraztean zabaltzen baitu.

topology subnet
server 10.70.0.0 255.255.255.0 nopool
ifconfig-pool 10.70.0.50 10.70.0.120 255.255.255.0

Bi mugak barnekoiak dira, beraz adibideak hirurogeita hamaika helbide eskaintzen ditu. Mantendu zerbitzariaren helbidea eta esleipen finko bakoitza tarte horretatik kanpo; tarte dinamikoaren barruan erortzen den esleipen finkoak konexio-ordenaren araberako talka sortzen du, eta hori da arazteko mota okerrena. Utzi tarte bat erreserbatutako multzoaren eta tartearen artean esleipen finkoek hazteko joera badute.

Tartearen tamaina eta konkortasuna muga bereiziak dira. Ehun helbidek ez dute ehun cliente aldi berean esan nahi max-clients-ek bestela esaten badu, eta konkortasun-muga baino pool handiagoa normala da, ez xahutzea. Garrantzitsua da bi mugak nahita hautatzea eta ez lehenespen batetik oinordetzea.

Mantendu esleipen finkoak tarte dinamikotik kanpo

Cliente jakin bateko ifconfig-push pool-esleipenetik desberdina den mekanismoa da, eta topologia aktiboari egokitutako parametroak erabili behar ditu. Azpisare moduan helbide bakarra eta sare-maskara da; net30 bikote bat eramatea adibide zahar batean agertu zelako ohiko akatsa da.

Esleipen-historia iradokizuna da, ez autoritatea. Persist fitxategi batek gogoratzen du zein clientek zein helbide zuen, beraz berriro konektatzen diren clienteei hura bera jasotzeko joera dute, eta ez ditu helbideak erreserbatzen, ez askatzen, ez eta esleipen finko bat ordezkatzen. Gailu jakin batek beti helbide jakin bat eduki behar badu, erabili esleipen finko bat persist fitxategian fidatu beharrean.

Ondoren egiaztatu helbideen menpe dauden bideak. Clienteei bidalitako ibilbide bat, azpisare bat onartzen duen suebakiko arau bat edo ostalari jakin bat espero duen monitorizazio-egiaztapen bat tarte zaharraz baliatu daitezke. Haiek irakurri gabe poola aldatzeak hutsegitea erlaziorik gabeko itxura duen lekura eramaten du.

Aplikatu bizi-zikloaren bidez, gero egiaztatu

Aplikatu aldaketa zerbitzuak konfigurazioa normalean jasotzen duen moduan — fitxategi zuzena eta berrabiaraztea, edo fitxategia birsortzen duen kudeaketa-geruza bat. Sortutako fitxategi batean eskuz egindako aldaketak hurrengo sorrerara arte irauten du, eta ez gehiago. Erregistratu zein mekanismok duen fitxategia, hurrengo operadoreak jakin beharko baitu aldaketa bera non egin. Ondoren berrabiarazi behin eta irakurri loga cliente bat gonbidatu aurretik.

systemctl restart openvpn-server@lab
journalctl -u openvpn-server@lab -n 30 --no-pager
# on a fresh client
ip -4 addr show tun0

Konektatu aurretik konektatu ez den cliente bat eta egiaztatu helbidea adierazitako tartearen barruan eta erreserbatutako multzotik kanpo dagoela. Ondoren egiaztatu itzulera-bidea: clienteak politikak baimendutakoa iritsi behar du eta ez gehiago. Planarekin bat datorren baina ibilbide erabilgarririk ez duen helbidea ez da aldaketa arrakastatsua.

Birkonektatu tarte zaharreko helbide bat zuen cliente bat. Tarte berriko helbide bat jaso behar du, eta helbide zaharrari lotutako saio-mailako egoerak desagertu behar du. Helbide zaharra mantentzen badu, beste zerbait ari zaio esleitzen eta poola ez da uste duzun jabea.

Tarte-aldaketa bat atzera egitea

Gorde aurreko hiru lerroak zure aldaketa-erregistroan, ez soilik aurreko fitxategia. Haiek berreskuratzeak eta berrabiarazteak esleipena jokabide zaharrera itzultzen du, eta geroago birkonektatzen diren clienteek hortik jasoko dituzte helbideak.

Bi ohar dagozkio erregistroari. Atzera egiten duzunean jada konektatuta dauden clienteek uneko helbideak mantentzen dituzte birkonektatu arte, beraz atzera-egitea ez da berehalakoa flota osoan. Eta tarte zaharra esleipen finko batekin gainjartzen bazen, hura berreskuratzeak talka ere berreskuratzen du; gainjartze hori izan zen aldaketaren arrazoia, eta atzera-egitea baino konponbide desberdina behar du.

Pool-aldaketa amaituta dago cliente berri batek tarte barruko helbidea jasotzen duenean, erreserbatutako helbidea inoiz ematen ez denean eta helbide horiek erabiltzen dituzten ibilbideek eta arauek nahi bezala jokatzen jarraitzen dutenean. Horrela ez denean, hurrengo pertsonari uzten zaio hiruretatik zein ez den egia aurkitzeko.