OpenVPN client-connect krókur: hvert fer heimilisfangið þitt í raun

Að skila heimilisfangi frá client-connect skriftu lítur út eins og það eigi að setja IP-tölu biðlarans. Það gerir það ekki: eina leið króksins til þjónsins er tímabundin skrá sem slóðin kemur sem síðasta viðfangið í skriftunni, og heimilisfangið verður að skrifa þar í ifconfig-push setningafræði. Skrifta sem prentar heimilisfangið eða endar með núlli án þess að skrifa neitt framleiðir tengdan biðlara með heimilisfang úr lauginni, og þjónskráin virðist hreint heilbrigð.

Ruglingurinn er skiljanlegur því nokkrir aðrir krókar svara sannarlega gegnum útgangskóða eða umhverfisbreytur. Þessi hefur sína eigin samning, og samningurinn byrjar á skráarnafni.

Krókurinn skrifar skrá, ekki skilagildi

Yfirlýsingin er tvær línur: script-security 2 til að leyfa kallið, síðan client-connect /etc/openvpn/server/assign-address.sh. Þegar biðlari auðkennir sig keyrir þjónninn þá skriftu með mynduðu skráarslóðinni bætt við sem síðasta viðfangið, sem er $1 aðeins ef yfirlýsingin sendir engin eigin viðbótarviðföng. Allt sem beitt er á þann biðlara fer í þá skrá sem venjulegar leiðbeiningar, ein í hverri línu, nákvæmlega eins og þær myndu birtast í stillingu. Umbúðir sem bæta við eigin færibreytum færa stöðuna, og klassískt einkenni er skrifta sem skrifar á slóð sem lítur út eins og --verbose.

Útgangsstaðan er hinn helmingur samningsins. Núll þýðir samþykkja og lesa skrána; hvað sem annað er hafnar tengingunni, og þannig er ókortlögð auðkenni hafnað í stað þess að falla hljóðlega aftur í laugina. Skrifaðu alla leiðbeininguna áður en þú skilar árangri, svo hálfskrifuð skrá verði aldrei stilling biðlara.

Tvær leiðbeiningar eiga skilið athygli því þær hafa samspil við allt annað. ifconfig-push festir heimilisfangið, en route sem ýtt er út segir biðlaranum hvað er aðgengilegt gegnum göngin; skilaðu þeirri fyrri og gleymdu þeirri seinni og þú færð biðlara með heimilisfang og ekkert hvert að fara. Röðin inni í skránni skiptir ekki máli, en heildin gerir það. Krókur sem ýtir út leið fyrir forskeyti sem enginn jafningi nær til er sama mistökin séð frá hinum endanum.

Inntak kemur gegnum umhverfisbreytur: common_name, trusted_ip, ifconfig_pool_remote_ip og restin. Meðhöndlaðu þær allar sem strengi utan þjónsins, aldrei sem skeljarbúta.

Heimilisfangakortlagning er stefna, ekki reikningur

Freistandi flýtileið er að þátta nafn vottorðsins og nota tölurnar sem síðasta oktett. Það er ekki úthlutunartæki, og það mistekst á venjulegan hátt: tvö nöfn með sama viðskeyti rekast á, nafn sem endar á 300 er ekki heimilisfang, og vottorð sem stjórnandi endurnefnir færir tæki hljóðlega. Staðfestu aðild að undirneti, nothæft hýsilbil, frátekin heimilisföng og einstök á hverju kalli, og haltu kortlagningunni í töflu sem maður getur lesið.

Sá sem stjórnar nafninu stjórnar heimilisfanginu, svo ákveðu hvað common_name stendur í raun fyrir í þessari uppsetningu. Með username-as-common-name virkt er auðkennið innskráningin en ekki viðfang vottorðsins. Sendu það gildi aldrei í skeljamat, og leyfðu biðlaranum aldrei að hafa áhrif á skráarslóð.

Úthlutunartæki sem byggir á skrá þarf að standast samhliða keyrslu. Taktu heimilisfangið frá á atómlegan hátt, meðhöndlaðu misheppnaða skrift án þess að hleypa hálfstilltum biðlara inn, og merktu hverja úthlutun tengingunni sem á hana, svo seint slit á eldri lotu geti ekki losað heimilisfang sem nýrri lota heldur þegar. Nokkrar þjónsúlptur sem deila einni laug gera þá kröfu skarpara en valfrjálsa.

Netlögunin ræður því hvað ifconfig-push þýðir

Með topology subnet á 10.77.0.0/24 er ifconfig-push 10.77.0.20 255.255.255.0 heimilisfang auk netgrímu þess. Undir topology net30 er síðara viðfangið alls ekki gríma heldur heimilisfang jafningsins, svo að afrita undirnetsformið á net30 þjón gefur þér biðlara sem tengist og getur ekki flutt umferð. Breyttu netlöguninni viljandi, aldrei til að láta dæmi líta samkvæmt út. Þjónn sem þegar keyrir net30 hefur lifandi biðlara á gömlu vistföngunum, svo skiptingin er flutningur með viðhaldsglugga, ekki einnar línu breyting.

Stöðug heimilisföng verða að vera utan hreyfanlegu laugarinnar og utan hverrar annarrar stöðugrar úthlutunar, þar á meðal þeirra sem venjulegar client-config-dir skrár úthluta. Ef tvær aðferðir geta framleitt sama heimilisfang fyrir mismunandi biðlara, mun önnur þeirra gera það fyrr eða síðar.

Prófaðu fjögur tilvik áður en þú treystir því

Keyrðu sömu prófin á kortlagt auðkenni, ókortlagt, endurtengingu og hermt skrárbilun. openvpn --config client.ovpn --verb 4 sýnir úthlutað heimilisfang í push svari, og á þjóninum staðfestir grep -A2 PUSH_REPLY /var/log/openvpn/openvpn.log hvað var í raun sent. Fyrir ókortlagða auðkennið er vænt niðurstaða hafnað tenging, ekki heimilisfang úr lauginni.

Skoðaðu síðan möppuna sem púkinn skrifar þessar tímabundnu skrár í. Skriftan keyrir í lækkuðu þjónustusamhengi, svo slóð sem root getur skrifað í en púkinn ekki breytir hverri tengingu í höfnun með heimildarvillu grafna nokkrum línum neðar í skránni.

Úthlutun er ekki heimild: fest heimilisfang veitir samt ekki aðgang að hverjum áfangastað bak við þjóninn. Haltu leiðar- og eldveggsstefnunni í sínum eigin laginu, og staðfestu hana gagnvart heimilisfanginu sem þú festir rétt í þessu.