IP statis OpenVPN per klien: ifconfig-push, bukan ipp.txt

Mengedit satu baris di ipp.txt terasa seperti memesan alamat, padahal bukan. Berkas itu, yang dinamai oleh ifconfig-pool-persist, mencatat alamat apa yang dimiliki sebuah nama umum terakhir kali agar kumpulan dapat mengembalikan yang sama bila itu nyaman. Tidak ada yang mengikat koneksi berikutnya ke nomor itu.

Jalankan pemeriksaan di bawah ini secara berurutan. Masing-masing menegaskan mekanismenya atau menyuruh Anda berhenti dan memperbaiki sebuah masukan.

Untuk apa berkas persistensi

Berkas ini ada untuk menjaga alamat tetap stabil di antara mulai ulang, yang membuat penyambungan ulang lebih ramah dan log lebih mudah dibaca. Berkas dibaca sebagai riwayat dan ditulis sebagai riwayat, dan jalur alokasi tetap bebas memilih alamat lain ketika petunjuk tidak cocok: kumpulan berbeda, penetapan yang bentrok, atau klien yang datang setelah kumpulan penuh. Karena itu suntingan manual bisa tampak sempurna di berkas dan tidak mengubah apa pun pada koneksi. Perlakukan sebagai singgahan keputusan masa lalu, bukan sumber kebijakan.

Jika Anda membutuhkan alamat tertentu untuk klien tertentu, mekanisme yang didokumentasikan adalah ifconfig-push, dan itu termasuk dalam konfigurasi yang memiliki klien tersebut.

Pastikan klien yang benar dipilih

Penetapan eksplisit dicari berdasarkan nama umum klien, jadi berkas yang dinamai untuk identitas yang salah tidak akan pernah dibaca. Pastikan apa yang dianggap server sebagai nama klien itu, terutama di tempat username-as-common-name mengubahnya setelah autentikasi. Lalu pastikan nama berkas cocok persis dengan nilai itu, termasuk besar-kecil huruf.

Pertimbangkan konkurensi selagi Anda di sini. Jika duplicate-cn diizinkan, beberapa perangkat dapat menyajikan identitas yang sama, dan satu alamat tetap tidak bisa unik untuk semuanya. Putuskan apakah alamat tetap itu sepadan dengan menolak sesi bersamaan untuk identitas tersebut, karena kedua persyaratan itu tidak bisa dipenuhi sekaligus.

Pastikan angka cocok dengan topologi

Arti argumen bergantung pada topologi terowongan, dan di sinilah contoh yang disalin menimbulkan kerusakan paling besar. Dalam tata letak net30 yang lebih tua setiap klien menempati blok empat alamat, sehingga push memberikan sepasang alamat. Dalam topologi subnet klien menerima satu alamat ditambah mask dari kumpulan, dan bentuk pasangan itu salah. Baca topologi dari konfigurasi yang berjalan sebelum menulis baris.

# /etc/openvpn/ccd/partner-a   (subnet topology)
ifconfig-push 10.44.0.61 255.255.255.0

Periksa alamat terhadap segala hal lain yang mungkin memilikinya: penetapan eksplisit lain, rentang kumpulan dinamis, dan rute statis mana pun yang mengasumsikan host tetap. Alamat yang tumpang tindih dengan kumpulan akan berfungsi sampai kumpulan memberikannya kepada orang lain, dan kegagalan itu akan tampak acak.

Periksa hasilnya pada koneksi baru

Sesi yang ada mempertahankan alamat yang diberikan, jadi satu-satunya uji yang bermakna adalah koneksi baru. Putuskan klien, sambungkan lagi, dan baca alamat yang benar-benar diterimanya bersama rute yang ikut datang. Jika alamatnya masih dinamis, penetapan tidak diterapkan, dan langkah berikutnya adalah pencarian konfigurasi, bukan suntingan lain pada berkas riwayat.

Simpan bukti bersama: nama klien, berkas yang cocok, alamat yang ditetapkan, dan kumpulan asalnya.

Akhirnya, alamat terowongan tetap bukan kredensial perangkat. Itu menandai tempat dalam rencana alamat, sementara autentikasi tetap bersandar pada sertifikat dan akun. Mencampur keduanya mengubah konflik alamat menjadi asumsi keamanan yang tidak ditulis siapa pun.