ifconfig-push: partner-cím net30 alatt vagy hálózati maszk subnet alatt?

A dinamikus kliensek csatlakoznak és az útválasztás jól működik, de az egyetlen fix címmel rendelkező kliens egyáltalán nem éri el a szervert. A tűzfalban semmi sem változott, és a CCD-sor hihetőnek tűnik. A szokásos ok egy második argumentum, amelyet a szerver által futtatottól eltérő TUN-topológiához írtak. A hiba csendes: a kliens címmel feljön és a szerver elfogadja a kapcsolatot, mégsem halad át forgalom.

net30 alatt ez a mező partner-cím; subnet alatt hálózati maszk. A két forma alternatíva, soha nem sorozat.

A két forma egymás mellett

Hagyományos net30-telepítésben minden kliens egy /30 blokkot birtokol: egy hálózati címet, két használható címet és egy broadcast-címet. A ifconfig-push a kliens címét és a partner címét veszi, a partner pedig az ugyanazon blokk másik használható címe, amelyet a pont-pont kapcsolat szerveroldala használ.

# net30: client address and its peer
ifconfig-push 10.99.0.6 10.99.0.5
# topology subnet: client address and the pool netmask
ifconfig-push 10.99.0.20 255.255.255.0

topology subnet alatt a kliens egy subnetet oszt meg a szerverrel, és ugyanaz a direktíva egy címet és egy hálózati maszkot vesz. A szerver saját címe a server direktívából származik, nem a második mezőből. A formák keverése olyan klienst hoz létre, amely azt hiszi, pont-pont kapcsolaton van, miközben a szerver subnet-gazdaként irányítja, vagy fordítva. Ezért a hálózati maszkot soha nem szabad net30-cal párosítani.

A blokk mindkét sora külön sor egy CCD-fájlhoz. Minden kliens pontosan egyet kap belőlük.

Olvassa el a topológiát, amelyet a szerver valóban futtat

A futó konfigurációt olvassa, ne a csomag alapértelmezését, mert a topológiát évekkel korábban is beállíthatták és továbbmásolhatták. Keresse a topology subnet-et vagy annak hiányát, majd ellenőrizze, hogyan oszt ki címeket a server sor. Az a konfiguráció, amely soha nem említi a topológiát, nem ugyanaz, mint amelyik beállítja a subnetet.

Ezután olvassa el a kliens által kapott beállításokat. Az általa jelentett cím, maszk és partner megmondja, melyik értelmezést alkalmazta a szerver.

Tartsa a fix címet a dinamikus poolon kívül

A fix címnek a dinamikus poolon kívül kell lennie, különben két kliens ugyanazt a címet kaphatja. Subnet-topológiánál a nopool a server sorban elnyomja az automatikus poolt, és egy kifejezett ifconfig-pool tartomány határozza meg, mit kapnak a dinamikus kliensek.

dev tun
topology subnet
server 10.99.0.0 255.255.255.0 nopool
ifconfig-pool 10.99.0.100 10.99.0.210 255.255.255.0
client-config-dir /etc/openvpn/ccd

A szerver 10.99.0.1-et vesz magának, és a fix klienscím a pool tartományán kívül esik. A CCD-fájl a kliens tényleges identitásáról kap nevet, nem a profilfájl nevéből, és nem kap további kiterjesztést. Ha a username-as-common-name aktív, a hitelesített felhasználónév az az identitás, amelyet egyeztetni kell. Két eszköz, amely egy identitást oszt meg, a fix címet is megosztja, ami szabályzatprobléma, nem útválasztási probléma.

Ellenőrizze a hozzárendelést, amelyet a kliens valóban kapott

Csatlakoztassa újra a kívánt klienst, és erősítse meg, melyik CCD-fájlt választotta ki, mielőtt bármi mást ellenőrizne. Ezután ellenőrizze a címet, a maszkot vagy a partnert, és a szerver felé vezető útvonalat. Az a kliens, amely subnet-telepítésben partner-címet mutat, még mindig a rossz formát használja.

A topológia megváltoztatása minden klienst és minden felülírást érint, ezért migrációként kezelje, nem egyetlen kliens javításaként. A statikus sor javítása a már használt topológiához általában a kisebb változás. server-options referencia dokumentálja a segédprogramot és a kliensspecifikus felülírásokat.