Statične OpenVPN adrese klijenata iza OPNsense
Datoteka bazena čini adresu ljepljivom, ne trajnom. Prikvačite adrese klijenata prilagođenim podešavanjima, proširite raspon tunela za /30 aritmetiku, pa ih objavite.
Imena trebaju adrese koje se ne pomjeraju, a OpenVPN-ova datoteka bazena samo čini adresu ljepljivom. Izgubite tu datoteku ili ponovo izdate certifikat pod drugim uobičajenim imenom, i klijent koji se vraća sleti negdje drugdje u bazenu dok njegov DNS zapis još pokazuje na staru adresu. Trajno rješenje je prilagođeno podešavanje za klijenta koje prikvačuje adresu, uz šire mrežu tunela tako da prikvačene adrese stoje izvan dinamičkog raspona. Aritmetika koja stoji iza tog proširenja je mjesto gdje živi većina zabune.
OPNsense drži ta prilagođena podešavanja u klijentskim postavkama servera, povezana s uobičajenim imenom certifikata, što uobičajeno ime čini dijelom plana adresa.
Ljepljivi zakup nije statična adresa
Datoteka bazena upisuje preslikavanja adresa na klijente i vraća ih kada se poznati klijent ponovo poveže. To je pogodnost, a ne ugovor: datoteka se može ponovo generisati, preslikavanje nestaje kada se identitet klijenta promijeni, a dva servera koja dijele bazen neće se složiti o tome. Prilagođeno podešavanje za klijenta radi drugačije, jer adresa dolazi iz konfiguracije umjesto iz historije. Ono preživljava i restart i ponovnu instalaciju uređaja, pod uslovom da se prilagođeno podešavanje sačuva s ostatkom konfiguracije.
Dinamička alternativa, povezivanje VPN-a s DNS-om pomoću skripte za povezivanje klijenta i dinamičkih ažuriranja, radi i zahtijeva rezolver koji prihvata ažuriranja plus skriptu pri svakom povezivanju. Na uređaju ste ograničeni na pakete koje isporučuje proizvođač, i tu se taj plan obično zaustavlja.
/30 aritmetika u kojoj niko ne uživa
Po podrazumijevanoj net30 topologiji svaki klijent dobija svoj /30: prva upotrebljiva adresa ide serverskoj strani, druga klijentu. Prilagođena podešavanja zato moraju stajati izvan serverove dinamičke mreže tunela, što znači da tu mrežu prvo treba proširiti. Server na 10.8.0.0/24 može preći na 10.8.0.0/23, ostavljajući polovinu starog raspona za dinamičke klijente i drugu polovinu za prilagođena podešavanja. Dodajte originalni /24 kao dodatnu IPv4 lokalnu mrežu da saobraćaj ka objema polovinama ide u tunel.
Svaka adresa prilagođenog podešavanja mora pasti na granicu /30, pa je posljednji oktet višekratnik broja četiri. /30 na 10.8.1.0 daje klijentu 10.8.1.2, i to je adresa koju DNS zapis nosi. Ako umjesto toga izaberete 10.8.1.3, dobijate klijenta koji se povezuje i ne može propuštati saobraćaj, jer adresa pripada podmreži koju mu topologija nikada nije dodijelila.
Plan je lakše održavati ako se prilagođena podešavanja dodjeljuju od vrha proširenog raspona naniže, tako da se dinamički bazen širi u slobodan prostor umjesto oko fiksnih otoka.
Lokalne mreže i zona koju klijenti pitaju
Saobraćaj između klijenata treba vlastitu dozvolu. Serverova lista IPv4 lokalnih mreža mora uključivati obje polovine raspona, dinamičku i statičku; bez toga server prihvata paket od jednog klijenta i nema pravilo koje ga propušta do drugog. Simptom izgleda kao DNS kvar, jer se ime razrješava a veza i dalje pada. Provjerite istovremeno i postavku za saobraćaj između klijenata, jer sam unos lokalne mreže ne omogućava prosljeđivanje između ravnopravnih klijenata.
Objavite zapise u zoni koju udaljeni klijenti stvarno pitaju. Zapis u zoni koju opslužuje samo LAN rezolver nevidljiv je klijentu čiji gurnuti rezolver pokazuje negdje drugdje, a dodavanje više zapisa u pogrešnu zonu to nikada ne popravlja. Potvrdite opciju gurnutog DNS-a i domen pretrage prije nego što bilo šta dodate.
Šta provjeriti na novoj vezi
Ponovo povežite klijent i potvrdite da dodijeljena adresa odgovara njegovom prilagođenom podešavanju prije nego što bilo šta drugo testirate. Zatim razriješite ime s drugog klijenta i povežite se na uslugu po imenu, što zajedno provjerava DNS zapis, rutu i firewall. Potvrdite povratni put na strani servera, jer ime koje se razrješava dok usluga ostaje nedostupna je problem rutiranja ili pravila, a ne imenovanja. Držite tabelu prilagođenih podešavanja uz listu certifikata da se oboje pregledaju zajedno.
Certifikat ponovo izdat pod drugim uobičajenim imenom prestaje da se poklapa sa svojim prilagođenim podešavanjem i vraća klijenta u dinamički bazen. Očekujte to nakon svake promjene identiteta.