Alamat OpenVPN yang stabil harus mengikuti identitas, bukan IP sumber

Rencana alamat yang berkata ‘laptop ini mendapat 10.90.0.10’ sebenarnya adalah pernyataan tentang identitas: perangkat terautentikasi mana yang boleh memegang alamat itu. IP publik perangkat itu saat ini hampir tidak ada hubungannya, karena NAT dan roaming mengubahnya tanpa mengubah siapa penggunanya. Membangun rencana pada alamat sumber menghasilkan aturan yang rusak di jaringan hotel pertama. Membangunnya pada identitas terautentikasi menghasilkan rencana yang bertahan saat berpindah tempat.

Mulailah dari apa yang dapat diverifikasi server, lalu putuskan untuk apa alamat itu.

Pilih kunci identitas sebelum alamat

Sertifikat klien terpisah untuk setiap perangkat memberi server kunci yang stabil dan dapat diverifikasi untuk setiap anggota, yang merupakan dasar paling bersih untuk penetapan statis. Penerapan yang memakai autentikasi per pengguna dapat memakai nama pengguna, asalkan pemilihan konfigurasi mengikuti bidang yang sama. Mencampur kedua model menghasilkan penetapan yang cocok dengan sertifikat untuk satu klien dan nama pengguna untuk klien lain, dan tidak ada yang bisa memprediksi mana yang menang. Putuskan kunci mana yang dipakai rencana sebelum menulis satu reservasi pun.

Dengan duplicate-cn, beberapa sesi bersamaan dapat menyajikan nama umum yang sama, sehingga satu alamat yang dipatok tidak dapat mengidentifikasi mereka satu per satu. Itu sifat model identitas, bukan sesuatu yang bisa diperbaiki rencana alamat yang lebih baik.

Reservasikan alamat di luar rentang dinamis

Dalam jaringan bertopologi subnet seperti 10.90.0.0/24, simpan alamat rendah untuk anggota bernama dan taruh pool dinamis di rentang terpisah. Penetapan untuk anggota yang dipatok tampak seperti ini ifconfig-push 10.90.0.10 255.255.255.0 di berkas yang dipilih server untuk identitas itu. Argumen kedua berarti sesuatu yang berbeda pada net30, jadi contoh ini tidak netral terhadap topologi. Baca topologinya sebelum menyalinnya.

Persistensi pool mencatat sewa terbaru dan cenderung mengembalikan alamat yang sama, yang merupakan kemudahan, bukan reservasi. Jangan biarkan berkas persistensi menjadi catatan kepemilikan, karena ia berubah dengan riwayat koneksi, bukan dengan kebijakan.

Prioritas penetapan menentukan siapa yang menang

Manual mendokumentasikan urutan: penetapan eksplisit yang dihasilkan selama client-connect dapat berlaku sebelum entri client-config-dir, yang pada gilirannya mendahului alokasi pool biasa. Urutan itu menjelaskan sebagian besar laporan ‘alamat yang dipatok tidak berlaku’. Artinya juga bahwa pengalokasi dinamis yang menulis konfigurasi per sesi dapat diam-diam menimpa berkas statis yang Anda anggap otoritatif.

Pilih satu lapisan yang memiliki penetapan dan jadikan yang lain hanya-baca. Dua lapisan yang sama-sama mengklaim memutuskan menghasilkan penetapan yang bergantung pada waktu.

Pengalokasi dinamis membutuhkan model yang sama

Integrasi client-connect yang membagikan alamat per sesi adalah pengalokasi kecil dengan masalah pengalokasi yang biasa. Ia harus memvalidasi identitas peminta, mereservasi alamat secara atomik, hanya mengeluarkan keluaran per koneksi yang didukung, dan melepaskan reservasi saat terputus atau gagal. Permintaan bersamaan memerlukan kunci atau batasan basis data, bukan urutan baca-lalu-tulis. Tanpa pembersihan, pool membocorkan alamat sampai restart.

Simpan status pengalokasi di tempat operator berikutnya dapat membacanya, dan catat keputusan identitas-ke-alamat, bukan hanya alamatnya.

Putuskan apakah alamat itu kebijakan atau kemudahan

Jika aturan firewall atau rute mengizinkan lalu lintas dari satu alamat tunnel, maka alamat itu ikut serta dalam kebijakan akses dan penetapan ulang mewarisi izin tersebut. Koordinasikan siklus hidup identitas, alamat, dan firewall, atau ikat aturan pada sesuatu yang tidak dapat ditetapkan ulang. Pengalamatan stabil membuat konfigurasi mudah dibaca; itu tidak menggantikan autentikasi.

Tulis rencana sebagai inventaris dengan pemilik per entri, lalu tinjau saat perangkat dinonaktifkan. Reservasi yang tidak terpakai adalah yang terpakai ulang secara tidak sengaja.