Freastalaí OpenVPN le nopool: dearbhaigh raon linn follasach

Cumraíonn cúntóirí an fhreastalaí fo-líonra agus ansin líonann siad é le linn dinimiciúil dá rogha féin. Bíonn an réamhshocrú sin áisiúil go dtí go gcaithfidh roinnt seoltaí fanacht lasmuigh den leithdháileadh, cibé acu atá siad curtha in áirithe do shannta seasta nó coinnithe siar do dheighleog amach anseo. Chun an linn uathoibríoch a chur faoi chois agus an raon a dhearbhú duit féin, teastaíonn dhá líne agus aon chinneadh d’aon ghnó faoi na seoltaí nach bhfuil le leithdháileadh. Is disciplín oibríochtúil an chuid eile: fardal, cur i bhfeidhm, fíorú, aischur.

Is athrú é seo ar sheirbhís atá ag obair, mar sin caith leat é mar thasc oibríochtúil: fardal ar dtús, cur i bhfeidhm tríd an saolré normálta, fíorú le cliant nua, agus aischur ullamh.

Tosaigh ón bhfo-líonra atá agat cheana

Léigh cumraíocht reatha an fhreastalaí agus na seoltaí atá ag na cliaint i ndáiríre. Ní dhéanann an t-athrú linn ciall ach amháin i gcoinne an bhunlíne sin, agus ní hé an bhunlíne i gcónaí an rud a thugann an comhad le tuiscint, mar go bhféadfadh táirge bainistithe nó gineadóir cumraíochta a bheith ina úinéir ar an gcomhad atá á léamh agat.

grep -nE '^(topology|server|ifconfig-pool|max-clients|client-config-dir)' /etc/openvpn/server/lab.conf
ip -4 addr show tun0

Deimhnigh an toipeolaíocht atá i bhfeidhm. Faoi thoipeolaíocht fo-líonra tógann gach cliant aon seoladh amháin ón linn; leithdháileann leaganacha níos sine net30 bloc beag in aghaidh an chliaint agus tá an uimhríocht go hiomlán difriúil. Má tá an freastalaí fós ar net30, is é an leathanach seo an treoir imirce mícheart agus ní bheidh brí leis na huimhreacha linn a bhfuil súil agat leo. Seiceáil an líne sin sula gcóipeáil tú uimhríocht seoltaí ó áit ar bith eile.

Scríobh síos seoladh an fhreastalaí féin, gach sannadh seasta i bhfillteán chumraíochta na gcliant, agus aon seoladh a bhfuil bealach nó riail rochtana ag brath air. Is iad seo na seoltaí a chaithfidh fanacht lasmuigh den raon dinimiciúil. Is é a scríobh síos ar dtús a dhéanann cinneadh den raon seachas tomhas. Tugann sé rud coincréiteach don aischur freisin le hathchóiriú.

Cuir nopool leis agus dearbhaigh an raon

Glacann an eochairfhocal cúntóra le nopool, a choinníonn cumraíocht an fho-líonra agus a chuireann an linn dhinimiciúil uathoibríoch faoi chois, mar a chuireann lámhleabhar OpenVPN 2.6 síos air. Soláthraíonn an líne shoiléir ifconfig-pool ansin an raon cuimsitheach atá beartaithe agat, agus tagann a masc líonra leis an bhfo-líonra. Baineann an dá líne leis an mbloc freastalaí céanna, mar nach bhfuil ciall le linn gan a fo-líonra. Níl tábhacht leis an ord eatarthu ach amháin le haghaidh inléiteachta, ós rud é go leathnaíonn an cúntóir an péire nuair a thosaíonn an tseirbhís.

topology subnet
server 10.70.0.0 255.255.255.0 nopool
ifconfig-pool 10.70.0.50 10.70.0.120 255.255.255.0

Tá an dá theorainn cuimsitheach, mar sin tairgeann an sampla seachtó a haon seoladh. Coinnigh seoladh an fhreastalaí agus gach sannadh seasta lasmuigh den raon sin; cruthaíonn sannadh seasta a thiteann laistigh den raon dinimiciúil imbhuailt a bhraitheann ar ord na nasc, agus sin an cineál is measa le dífhabhrú. Fág corrlach idir an tacar curtha in áirithe agus an raon má tá na samnta seasta ag dul i méid.

Is teorainneacha ar leith iad méid an raoin agus comhthráthacht. Ní chiallaíonn céad seoladh céad cliant comhthráthach má deir max-clients a mhalairt, agus tá linn níos mó ná an teorainn chomhthráthachta normálta seachas amú. Is é an rud atá tábhachtach ná go roghnaítear an dá theorainn d’aon ghnó seachas iad a oidhreacht ó réamhshocrú.

Coinnigh samnta seasta lasmuigh den raon dinimiciúil

Is meicníocht dhifriúil ó leithdháileadh linn é ifconfig-push a bhaineann le cliant ar leith, agus caithfidh sé paraiméadair a úsáid atá oiriúnach don toipeolaíocht ghníomhach. I mód fo-líonra is aon seoladh agus masc líonra é; is botún coitianta é péire net30 a iompar anonn mar gheall go raibh sé le feiceáil i seamplá ársa.

Is leid é stair an leithdháilte, ní údarás. Cuimhníonn comhad persist ar an gcliant a raibh an seoladh áirithe aige, ionas go mbíonn cliaint a nascann arís claonta chun an ceann céanna a fháil, agus ní chuireann sé seoltaí in áirithe, ní shaorann sé iad ná ní thagann sé in ionad sannadh seasta. Má chaithfidh gléas ar leith seoladh ar leith a choinneáil i gcónaí, úsáid sannadh seasta seach a bheith ag brath ar an gcomhad persist.

Ansin seiceáil na cosáin a bhraitheann ar sheoltaí. Féadann bealach a bhrúitear chuig cliaint, riail balla dóiteáin a ligeann fo-líonra isteach, nó seiceáil mhonatóireachta a bhfuil óstach ar leith ag súil leis an seanraon a thógáil mar bhunús. Má athraíonn tú an linn gan iad a léamh, bogtar an teip go háit a bhféachann sé neamhghaolmhar.

Cuir i bhfeidhm tríd an saolré, ansin fíoraigh

Cuir an t-athrú i bhfeidhm mar a fhaigheann an tseirbhís cumraíocht de ghnáth — cibé acu comhad díreach móide atosú nó ciseal bainistithe a athghineann an comhad. Maireann eagarthóireacht láimhe ar chomhad ginte go dtí an chéad ghiniúint eile, agus ní níos faide. Taifead cén mheicníocht a shealbhaíonn an comhad, mar beidh ar an gcéad oibreoir eile a fháil amach cá ndéanfar an t-athrú céanna. Ansin atosaigh uair amháin agus léigh an logáil sula dtugann tú cuireadh do chliant.

systemctl restart openvpn-server@lab
journalctl -u openvpn-server@lab -n 30 --no-pager
# on a fresh client
ip -4 addr show tun0

Nasc cliant nach raibh nasctha roimhe seo agus deimhnigh go dtiteann an seoladh laistigh den raon dearbhaithe agus lasmuigh den tacar curtha in áirithe. Ansin deimhnigh an bealach ar ais: ba chóir don chliant teacht ar an méid a cheadaíonn an bheartas agus ní mó. Ní hathrú rathúil é seoladh a oireann don phlean ach nach bhfuil aon bhealach oibre aige.

Athnasc cliant a raibh seoladh ón seanraon aige. Ba chóir dó seoladh a fháil ón raon nua, agus ba chóir go mbeadh aon staid ar leibhéal seisiúin atá ceangailte den seanseoladh imithe. Má choinníonn sé an seanseoladh, tá rud éigin eile á leithdháileadh agus ní hé an linn an t-úinéir a cheapann tú atá ann.

Aischur ar athrú raoin

Coinnigh na trí líne roimhe seo i do thaifead athraithe, ní hamháin an comhad roimhe seo. Trí iad a athchóiriú agus atosú, filleann an leithdháileadh ar an iompar sean, agus gheobhaidh cliaint a nascann ina dhiaidh sin seoltaí as.

Baineann dhá rabhadh leis an taifead. Coinníonn cliaint atá nasctha cheana nuair a dhéanann tú aischur a seoltaí reatha go dtí go nascann siad arís, mar sin ní bhíonn aischur láithreach ar fud an chabhlach. Agus má bhí forluí ag an seanraon le sannadh seasta, athchóiríonn a athchóiriú an imbhuailt freisin; ba é an forluí sin cúis an athraithe, agus teastaíonn réiteach difriúil ó aischur dó.

Tá athrú linn críochnaithe nuair a fhaigheann cliant nua seoladh laistigh den raon, nach dtugtar seoladh curtha in áirithe amach riamh, agus go n-iompraíonn na bealaí agus na rialacha a ídíonn na seoltaí sin iad féin fós mar a bhí beartaithe. Fágann aon rud níos lú don chéad duine eile a fháil amach cé acu den triúr nach bhfuil fíor.