OPNsense артындағы OpenVPN клиенттерінің статикалық мекенжайлары
pool файлы мекенжайды жабысқақ етеді, тұрақты емес. Клиент мекенжайларын override-термен бекітіңіз, /30 арифметикасы үшін туннель ауқымын кеңейтіңіз, содан кейін оларды жариялаңыз.
Атауларға қозғалмайтын мекенжайлар керек, ал OpenVPN-нің pool файлы мекенжайды тек жабысқақ етеді. Ол файлдан айырылсаңыз немесе сертификатты басқа ортақ атпен қайта шығарсаңыз, қайта оралған клиент pool ішінде басқа жерге түседі, ал оның DNS жазбасы әлі ескі мекенжайды көрсетіп тұрады. Тұрақты жауап — мекенжайды бекітетін клиентке тән override, қоса алғанда кеңірек туннель желісі, сонда бекітілген мекенжайлар динамикалық ауқымнан тыс тұрады. Осы кеңейтудің артындағы арифметика — шатасудың көбі тұратын жер.
OPNsense бұл override-терді сервердің клиентке тән параметрлерінде сақтайды, кілті сертификаттың ортақ аты, бұл ортақ атты мекенжай жоспарының бөлігіне айналдырады.
Жабысқақ жалдау статикалық мекенжай емес
pool файлы мекенжай-клиент сәйкестіктерін жазады және таныс клиент қайта қосылғанда оларды қайтарады. Бұл келісім емес, қолайлылық: файлды қайта жасауға болады, клиенттің жеке басы өзгергенде сәйкестік жоғалады, ал бір pool-ды бөлісетін екі сервер бұл туралы келіспейді. Клиентке тән override басқаша жұмыс істейді, өйткені мекенжай тарихтан емес, конфигурациядан келеді. Ол сондай-ақ құрылғының қайта жүктелуі мен қайта орнатылуына төтеп береді, егер override қалған конфигурациямен бірге резервтік көшірмеге алынса.
Динамикалық балама, яғни VPN-ді client-connect скриптімен және динамикалық жаңартулармен DNS-ке қосу, жұмыс істейді және жаңартуларды қабылдайтын resolver-ді, қоса алғанда әр қосылымда скриптті қажет етеді. Құрылғыда сіз жеткізуші ұсынатын пакеттермен шектелесіз, және әдетте дәл сол жерде бұл жоспар тоқтайды.
Ешкім ұнатпайтын /30 арифметикасы
Әдепкі net30 топологиясында әр клиент өзінің /30-ын алады: бірінші пайдалануға жарамды мекенжай сервер жағына, екіншісі клиентке кетеді. Сондықтан override-тер сервердің динамикалық туннель желісінен тыс болуы керек, бұл алдымен сол желіні кеңейтуді білдіреді. 10.8.0.0/24-тегі сервер 10.8.0.0/23-ке көше алады, ескі ауқымның жартысын динамикалық клиенттерге, екінші жартысын override-терге қалдырып. Бастапқы /24-ті қосымша IPv4 жергілікті желі ретінде қосыңыз, сонда екі жартыға да трафик туннельге бағытталады.
Әр override мекенжайы /30 шекарасына түсуі керек, сондықтан соңғы октет төртке еселі. 10.8.1.0-дегі /30 клиентке 10.8.1.2 береді, ал DNS жазбасы дәл сол мекенжайды тасымалдайды. Оның орнына 10.8.1.3 таңдау қосылатын, бірақ трафикті өткізе алмайтын клиент жасайды, өйткені мекенжай топология оған ешқашан бермеген қосымша желіге тиесілі.
Жоспарды ұстау оңайырақ, егер override-тер кеңейтілген ауқымның жоғарғы жағынан төмен қарай бөлінсе, сонда динамикалық pool бекітілген аралдардың айналасында емес, бос кеңістікке кеңейеді.
Жергілікті желілер және клиенттер сұрайтын аймақ
Клиенттен клиентке трафик өзінің рұқсатын қажет етеді. Сервердің IPv4 жергілікті желілер тізіміне ауқымның екі жартысы да кіруі керек, динамикалық және статикалық; онсыз сервер бір клиенттен пакет қабылдайды және оны екіншісіне өткізуге рұқсат беретін саясаты жоқ. Белгі DNS ақауына ұқсайды, өйткені ат шешіледі, ал қосылым әлі де сәтсіз аяқталады. Сол уақытта клиенттен клиентке параметрін де тексеріңіз, өйткені жалғыз жергілікті желі жазбасы теңдестер арасындағы жіберуді қоспайды.
Жазбаларды қашықтағы клиенттер шын мәнінде сұрайтын аймақта жариялаңыз. Тек LAN resolver қызмет көрсететін аймақтағы жазба, итерілген resolver басқа жақты көрсететін клиент үшін көрінбейді, ал қате аймаққа қосымша жазба қосу мұны ешқашан түзетпейді. Бірдеңе қоспас бұрын итерілген DNS опциясы мен іздеу доменін растаңыз.
Жаңа қосылымда нені тексеру керек
Клиентті қайта қосыңыз және басқа нәрсені сынамас бұрын берілген мекенжайдың оның override-іне сәйкес келетінін растаңыз. Содан кейін атты екінші клиенттен шешіп, қызметке ат арқылы қосылыңыз, бұл DNS жазбасын, маршрутты және firewall-ды бірге тексереді. Сервер жағында жауап жолын растаңыз, өйткені ат шешілгенмен қызмет қолжетімсіз болып қалса, бұл ат қою емес, маршруттау немесе саясат мәселесі. override кестесін сертификаттар тізімінің жанында ұстаңыз, сонда екеуі бірге қаралады.
Басқа ортақ атпен қайта шығарылған сертификат өз override-імен сәйкесуін тоқтатады және клиентті динамикалық pool-ға қайтарады. Кез келген жеке бас өзгерісінен кейін мұны күтіңіз.