ifconfig-push: alamat peer di net30 atau netmask di subnet?

Klien dinamis terhubung dan perutean berjalan baik, tetapi satu-satunya klien dengan alamat tetap sama sekali tidak dapat mencapai server. Tidak ada yang berubah di tembok api, dan baris CCD tampak masuk akal. Penyebab biasa adalah argumen kedua yang ditulis untuk topologi TUN berbeda dari yang dijalankan server. Kegagalannya senyap: klien muncul dengan alamat dan server menerima koneksi, namun tidak ada lalu lintas yang lewat.

Di net30 bidang itu adalah alamat peer; di subnet itu adalah netmask. Kedua bentuk adalah alternatif, tidak pernah rangkaian.

Kedua bentuk, berdampingan

Dalam penerapan net30 tradisional setiap klien memiliki blok /30: alamat jaringan, dua alamat yang dapat dipakai, dan alamat siaran. ifconfig-push mengambil alamat klien dan alamat peer, dan peer adalah alamat lain yang dapat dipakai dalam blok yang sama, digunakan oleh sisi server dari tautan titik ke titik.

# net30: client address and its peer
ifconfig-push 10.99.0.6 10.99.0.5
# topology subnet: client address and the pool netmask
ifconfig-push 10.99.0.20 255.255.255.0

Di bawah topology subnet klien berbagi satu subnet dengan server, dan direktif yang sama mengambil alamat dan netmask. Alamat server itu sendiri berasal dari direktif server, bukan dari bidang kedua. Mencampur kedua bentuk menghasilkan klien yang mengira berada pada tautan titik ke titik sementara server merutekannya sebagai host subnet, atau sebaliknya. Itulah sebabnya netmask tidak boleh pernah dipasangkan dengan net30.

Kedua baris dalam blok adalah baris tunggal untuk berkas CCD. Setiap klien mendapat tepat satu di antaranya.

Baca topologi yang benar-benar dijalankan server

Baca konfigurasi yang berjalan, bukan bawaan paket, karena topologi mungkin ditetapkan bertahun-tahun lalu dan disalin ke depan. Cari topology subnet atau ketiadaannya, lalu periksa bagaimana baris server mengalokasikan alamat. Konfigurasi yang tidak pernah menyebut topologi tidak sama dengan yang menetapkan subnet.

Lalu baca pengaturan yang diterima klien. Alamat, netmask, dan peer yang dilaporkannya memberi tahu Anda tafsiran mana yang diterapkan server.

Jauhkan alamat tetap dari kumpulan dinamis

Alamat tetap harus berada di luar kumpulan dinamis, atau dua klien bisa diberi alamat yang sama. Dengan topologi subnet, nopool pada baris server menekan kumpulan otomatis, dan rentang ifconfig-pool eksplisit menentukan apa yang diterima klien dinamis.

dev tun
topology subnet
server 10.99.0.0 255.255.255.0 nopool
ifconfig-pool 10.99.0.100 10.99.0.210 255.255.255.0
client-config-dir /etc/openvpn/ccd

Server mengambil 10.99.0.1 untuk dirinya sendiri, dan alamat klien tetap berada di luar rentang kumpulan. Berkas CCD dinamai menurut identitas efektif klien, bukan nama berkas profil, dan tidak memakai ekstensi tambahan. Jika username-as-common-name aktif, nama pengguna yang terautentikasi adalah identitas yang harus dicocokkan. Dua perangkat yang berbagi satu identitas juga akan berbagi alamat tetap, yang merupakan masalah kebijakan, bukan perutean.

Verifikasi penetapan yang benar-benar diterima klien

Sambungkan ulang klien yang dimaksud dan pastikan berkas CCD mana yang dipilih sebelum memeriksa apa pun. Lalu verifikasi alamat, netmask atau peer, dan rute kembali ke server. Klien yang menampilkan alamat peer dalam penerapan subnet masih memakai bentuk yang salah.

Mengubah topologi memengaruhi setiap klien dan setiap penimpaan, jadi perlakukan itu sebagai migrasi, bukan perbaikan satu klien. Mengoreksi baris statis agar sesuai dengan topologi yang sudah dipakai biasanya merupakan perubahan yang lebih kecil. referensi server-options mendokumentasikan helper dan penimpaan khusus klien.