Crúca client-connect OpenVPN: cá dtéann do sheoladh i ndáiríre

Bíonn cuma ar fhilleadh seoladh ó script client-connect gur chóir dó IP an chliaint a shocrú. Ní dhéanann sé amhlaidh: is é an t-aon chainéal atá ag an gcrúca chuig an bhfreastalaí ná comhad sealadach a dtagann a chonair mar an argóint dheireanach den script, agus caithfear an seoladh a scríobh ansin i gcomhréir ifconfig-push. Cruthaíonn script a phriontálann an seoladh nó a fhágann le nialas gan aon rud a scríobh cliant nasctha le seoladh ón linn snámha, agus breathnaíonn loga an fhreastalaí go hiomlán sláintiúil.

Tá an mearbhall réasúnta, mar déanann roinnt crúcaí eile freagraíocht i ndáiríre trí chóid scoir nó trí athróga comhshaoil. Tá a chonradh féin ag an gceann seo, agus tosaíonn an conradh le hainm comhaid.

Scríobhann an crúca comhad, ní luach fillte

Tá dhá líne sa dearbhú: script-security 2 chun an glao a cheadú, ansin client-connect /etc/openvpn/server/assign-address.sh. Nuair a fhíoraíonn cliant é féin, ritheann an freastalaí an script sin leis an gconair chomhaid ghinte curtha leis mar an argóint dheireanach, nach bhfuil $1 ach amháin mura dtéann an dearbhú aon argóintí breise dá chuid féin ar aghaidh. Téann gach rud a chuirtear i bhfeidhm ar an gcliant sin sa chomhad sin mar ghnáth-threoracha, ceann sa líne, go díreach mar a bheadh siad le feiceáil i gcumraíocht. Aistríonn fillteán a chuireann a pharaiméadair féin leis an suíomh, agus is é an tsiomptóm clasaiceach script a scríobhann chuig conair atá cosúil le --verbose.

Is é stádas scoir an leath eile den chonradh. Ciallaíonn nialas glac agus léigh an comhad; diúltaíonn aon rud eile don nasc, agus is amhlaidh a dhiúltaítear d'aitheantas neamh-mhapáilte in ionad titim go ciúin ar ais chuig an linn snámha. Scríobh an treoir iomlán sula dtugann tú rath ar ais, ionas nach ndéanfaidh comhad leathscríofa cumraíocht cliaint riamh.

Tá dhá threoir tuillte ag aird mar idirghníomhaíonn siad le gach rud eile. Socróidh ifconfig-push an seoladh, agus insíonn route brúite don chliant cad atá inrochtana tríd an tollán; tabhair an chéad cheann ar ais agus déan dearmad ar an dara ceann agus faigheann tú cliant le seoladh agus gan áit le dul. Ní miste an t-ordú laistigh den chomhad, ach is miste an iomláine. Is é an crúca a bhrúnn bealach le haghaidh réimír nach féidir le haon phiara a bhaint amach an earráid chéanna ón taobh eile.

Tagann ionchuir trí athróga comhshaoil: common_name, trusted_ip, ifconfig_pool_remote_ip agus an chuid eile. Caith leo go léir mar theaghráin ó lasmuigh den fhreastalaí, riamh mar chodanna sliogáin.

Is polasaí é mapáil seoltaí, ní uimhríocht

Aicearra mealltach is ea ainm an teastais a pharsáil agus a dhigit a úsáid mar an ochtú deireanach. Ní leithroinnteoir é sin, agus teipeann sé ar ghnáthbhealaí: tagann dhá ainm a bhfuil an foriarmhír chéanna acu salach ar a chéile, ní seoladh é ainm a chríochnaíonn le 300, agus bogann teastas a athainmnítear ag riarthóir gléas go ciúin. Bailíochtaigh ballraíocht i bhfoirlíon, an raon óstach inúsáidte, seoltaí forchoimeádta agus uathúlacht ar gach glao, agus coinnigh an mhapáil i dtábla is féidir le duine a léamh.

Rialaíonn an té a rialaíonn an t-ainm an seoladh, mar sin socraigh cad a sheasann common_name dó i ndáiríre sa imscaradh seo. Le username-as-common-name cumasaithe, is é an logáil isteach an t-aitheantas seach ábhar an teastais. Ná cuir an luach sin chuig meastóireacht sliogáin riamh, agus ná lig don chliant tionchar a imirt ar chonair comhaid.

Caithfidh leithroinnteoir a bhfuil tacaíocht clárlainne aige teacht slán ó chomhthráthacht. Cuir an seoladh in áirithe go hadamhach, láimhseáil scríobh teipthe gan cliant leathchumraithe a ligean isteach, agus lipéadaigh gach leithdháileadh leis an nasc a shealbhaíonn é, ionas nach féidir le dícheangal déanach ó sheisiún níos sine seoladh a shaoradh atá ag seisiún níos nuaí cheana féin. Déanann roinnt cásanna freastalaí a roinneann linn snámha amháin an ceanglas sin níos géire seach roghnach.

Cinneann topology cad a chiallaíonn ifconfig-push

Le topology subnet ar 10.77.0.0/24, is seoladh móide a mhaisc líonra é ifconfig-push 10.77.0.20 255.255.255.0. Faoi topology net30 ní maisc ar chor ar bith é an dara hargóint ach seoladh an phiara, mar sin má chóipeáiltear foirm an fhoirlíon chuig freastalaí net30 faigheann tú cliant a nascann agus nach féidir le trácht a rith. Athraigh an topology d'aon ghnó, riamh chun go mbeadh cuma chomhsheasmhach ar shampla. Tá cliaint bheo ag freastalaí atá ag rith net30 cheana féin ar an tsean-seoltú, mar sin is imirce le fuinneog chothabhála an t-athrú, ní eagarthóireacht aon líne.

Caithfidh seoltaí statacha a bheith lasmuigh den linn dhinimiciúil agus lasmuigh de gach leithdháileadh statach eile, lena n-áirítear iad siúd a thugann gnáthchomhaid client-config-dir. Má féidir le dhá mheicníocht an seoladh céanna a tháirgeadh do chliaint éagsúla, déanfaidh ceann acu amhlaidh sa deireadh.

Tástáil ceithre chás sula dtéann tú i muinín air

Rith na seiceálacha céanna ar aitheantas mapáilte, ceann neamh-mhapáilte, athnascadh agus teip chlárainne ionsamhlaithe. Taispeánann openvpn --config client.ovpn --verb 4 an seoladh a leithdháileadh sa fhreagra push, agus ar an bhfreastalaí deimhníonn grep -A2 PUSH_REPLY /var/log/openvpn/openvpn.log cad a seoladh i ndáiríre. Maidir leis an aitheantas neamh-mhapáilte is é an toradh a bhfuiltear ag súil leis ná nasc diúltaithe, ní seoladh ón linn snámha.

Ansin scrúdaigh an chomhadlann a scríobhann an daemon na comhaid shealadacha sin inti. Ritheann an script i gcomhthéacs an tseirbhíse íslithe, mar sin déanann conair ar féidir le root scríobh inti ach nach féidir leis an daemon gach nasc a iompú ina dhiúltú le hearráid cheada curtha i bhfolach roinnt línte níos faide síos sa loga.

Ní údarú é leithdháileadh: ní thugann seoladh bioráilte rochtain ar gach ceann scríbe taobh thiar den fhreastalaí fós. Coinnigh an polasaí ródaithe agus balla dóiteáin ina chiseal féin, agus fíoraigh é i gcoinne an tseolta a shocraigh tú díreach.