Alamat klien OpenVPN statis di belakang OPNsense

Nama membutuhkan alamat yang tidak berpindah, dan berkas pool OpenVPN hanya membuat alamat menjadi lengket. Kehilangan berkas itu, atau terbitkan ulang sertifikat dengan nama umum yang berbeda, dan klien yang kembali mendarat di tempat lain dalam pool sementara catatan DNS-nya masih menunjuk ke alamat lama. Jawaban yang tahan lama adalah penimpaan khusus klien yang menyematkan alamat, ditambah jaringan tunnel yang lebih luas agar alamat tersemat berada di luar rentang dinamis. Aritmetika di balik pelebaran itu adalah tempat sebagian besar kebingungan tinggal.

OPNsense menyimpan penimpaan itu di pengaturan khusus klien pada server, dikunci dengan nama umum sertifikat, yang menjadikan nama umum bagian dari rencana alamat.

Sewa lengket bukan alamat statis

Berkas pool menulis pemetaan alamat ke klien dan mengembalikannya saat klien yang dikenal tersambung lagi. Itu kemudahan, bukan kontrak: berkas dapat dibuat ulang, pemetaan hilang saat identitas klien berubah, dan dua server yang berbagi pool tidak akan sepakat tentangnya. Penimpaan khusus klien bekerja berbeda, karena alamat berasal dari konfigurasi, bukan dari riwayat. Penimpaan itu juga bertahan terhadap mulai ulang dan pemasangan ulang peralatan, asalkan penimpaan dicadangkan bersama konfigurasi lainnya.

Alternatif dinamis, menghubungkan VPN ke DNS dengan skrip sambungan klien dan pembaruan dinamis, berfungsi dan membutuhkan resolver yang menerima pembaruan plus skrip pada setiap sambungan. Pada peralatan Anda terbatas pada paket yang dikirim vendor, dan biasanya di situlah rencana itu berhenti.

Aritmetika /30 yang tidak disukai siapa pun

Dengan topologi net30 bawaan, setiap klien mendapat /30-nya sendiri: alamat pertama yang dapat dipakai pergi ke sisi server, yang kedua ke klien. Karena itu penimpaan harus berada di luar jaringan tunnel dinamis server, yang berarti jaringan itu harus diperluas lebih dulu. Server pada 10.8.0.0/24 dapat pindah ke 10.8.0.0/23, menyisakan separuh rentang lama untuk klien dinamis dan separuh lainnya untuk penimpaan. Tambahkan /24 asli sebagai jaringan lokal IPv4 tambahan agar lalu lintas ke kedua bagian masuk ke tunnel.

Setiap alamat penimpaan harus jatuh pada batas /30, jadi oktet terakhir adalah kelipatan empat. /30 pada 10.8.1.0 memberi klien 10.8.1.2, dan itulah alamat yang dibawa catatan DNS. Memilih 10.8.1.3 sebagai gantinya menghasilkan klien yang tersambung dan tidak dapat melewatkan lalu lintas, karena alamat itu milik subnet yang tidak pernah ditugaskan topologi kepadanya.

Rencana lebih mudah dipertahankan jika penimpaan dialokasikan dari atas rentang yang diperluas ke bawah, sehingga pool dinamis meluas ke ruang kosong alih-alih mengelilingi pulau tetap.

Jaringan lokal dan zona yang ditanyakan klien

Lalu lintas klien-ke-klien membutuhkan izinnya sendiri. Daftar jaringan lokal IPv4 server harus mencakup kedua bagian rentang, dinamis dan statis; tanpanya server menerima paket dari satu klien dan tidak memiliki kebijakan yang mengizinkannya lewat ke klien lain. Gejalanya terbaca seperti kegagalan DNS, karena nama terurai dan koneksi tetap gagal. Periksa juga pengaturan klien-ke-klien pada saat yang sama, karena entri jaringan lokal saja tidak mengaktifkan penerusan antar peer.

Terbitkan catatan di zona yang benar-benar ditanyakan klien jarak jauh. Catatan di zona yang hanya dilayani resolver LAN tidak terlihat oleh klien yang resolver dorongnya menunjuk ke tempat lain, dan menambahkan lebih banyak catatan ke zona yang salah tidak akan pernah memperbaikinya. Pastikan opsi DNS yang didorong dan domain pencarian sebelum menambahkan apa pun.

Apa yang diperiksa pada koneksi baru

Sambungkan ulang klien dan pastikan alamat yang ditetapkan cocok dengan penimpaan sebelum menguji hal lain. Lalu uraikan nama dari klien kedua dan sambungkan ke layanan dengan nama, yang menguji catatan DNS, rute, dan firewall sekaligus. Pastikan jalur balasan di sisi server, karena nama yang terurai sementara layanan tetap tak terjangkau adalah masalah perutean atau kebijakan, bukan penamaan. Simpan tabel penimpaan di samping daftar sertifikat agar keduanya ditinjau bersama.

Sertifikat yang diterbitkan ulang dengan nama umum berbeda berhenti cocok dengan penimpaannya dan mengembalikan klien ke pool dinamis. Harapkan itu setelah setiap perubahan identitas.