안정적인 OpenVPN 주소는 소스 IP가 아니라 ID를 따라야 합니다

‘이 노트북은 10.90.0.10을 받는다’라고 말하는 주소 계획은 사실 ID에 대한 진술입니다. 어떤 인증된 장치가 그 주소를 가질 수 있는가 하는 것입니다. 그 장치의 현재 공인 IP는 거의 관계가 없습니다. NAT와 로밍이 사용자가 누구인지는 바꾸지 않고 IP만 바꾸기 때문입니다. 소스 주소에 계획을 세우면 첫 호텔 네트워크에서 깨지는 규칙이 나옵니다. 인증된 ID에 세우면 이동에도 견디는 계획이 됩니다.

서버가 검증할 수 있는 것에서 시작하고, 그다음 주소가 무엇을 위한 것인지 정하십시오.

주소보다 ID 키를 먼저 고르십시오

장치마다 별도의 클라이언트 인증서를 두면 서버가 구성원마다 안정적이고 검증 가능한 키를 갖게 되며, 이것이 고정 할당의 가장 깨끗한 기반입니다. 사용자별 인증을 쓰는 배포는 대신 사용자 이름을 키로 삼을 수 있습니다. 구성 선택이 같은 필드를 따르기만 하면 됩니다. 두 모델을 섞으면 한 클라이언트에는 인증서가, 다른 클라이언트에는 사용자 이름이 맞는 할당이 생기고, 어느 쪽이 이길지 아무도 예측할 수 없습니다. 예약을 하나라도 쓰기 전에 계획이 어느 키를 쓰는지 정하십시오.

duplicate-cn 에서는 여러 동시 세션이 같은 공통 이름을 제시할 수 있으므로 고정된 주소 하나로는 개별적으로 식별할 수 없습니다. 그것은 ID 모델의 성질이며 더 나은 주소 계획으로 고칠 수 있는 것이 아닙니다.

동적 범위 밖에 주소를 예약하십시오

10.90.0.0/24 같은 서브넷 토폴로지 네트워크에서는 낮은 주소를 이름 있는 구성원에게 남기고 동적 풀을 분리된 범위에 두십시오. 고정 구성원의 할당은 서버가 그 ID에 대해 선택하는 파일에서 ifconfig-push 10.90.0.10 255.255.255.0 처럼 보입니다. 두 번째 인수는 net30에서 다른 의미이므로 예시는 토폴로지 중립적이지 않습니다. 복사하기 전에 토폴로지를 읽으십시오.

풀 지속성은 최근 임대를 기록합니다 그리고 같은 주소를 돌려주는 경향이 있는데, 이는 예약이 아니라 편의입니다. 지속성 파일이 소유 기록이 되게 하지 마십시오. 정책이 아니라 연결 이력에 따라 바뀌기 때문입니다.

할당 우선순위가 승자를 정합니다

매뉴얼은 순서를 기록합니다. client-connect 중에 생성된 명시적 할당은 client-config-dir 항목보다 먼저 효력을 낼 수 있고, 그 항목은 다시 일반 풀 할당보다 앞섭니다. 이 순서가 ‘고정 주소가 적용되지 않았다’는 보고의 대부분을 설명합니다. 또한 세션별 구성을 쓰는 동적 할당기가 권위 있다고 생각한 고정 파일을 조용히 덮어쓸 수 있다는 뜻입니다.

할당을 소유할 계층 하나를 고르고 나머지는 읽기 전용으로 만드십시오. 둘 다 결정한다고 주장하는 두 계층은 타이밍에 의존하는 할당을 만듭니다.

동적 할당기에도 같은 모델이 필요합니다

세션마다 주소를 나눠 주는 client-connect 통합 은 할당기의 흔한 문제를 가진 작은 할당기입니다. 요청 ID를 검증하고, 주소를 원자적으로 예약하고, 지원되는 연결별 출력만 내보내고, 연결 해제나 실패 시 예약을 풀어야 합니다. 동시 요청에는 읽고-나서-쓰는 순서가 아니라 잠금이나 데이터베이스 제약이 필요합니다. 정리하지 않으면 풀이 재시작까지 주소를 새어 나가게 합니다.

할당기의 상태를 다음 운영자가 읽을 수 있는 곳에 두고, 주소만이 아니라 ID-주소 결정을 기록하십시오.

주소가 정책인지 편의인지 정하십시오

방화벽 규칙이나 경로가 터널 주소 하나에서 오는 트래픽을 허용한다면 그 주소는 접근 정책에 참여하고 재할당은 그 권한을 물려받습니다. ID, 주소, 방화벽의 수명 주기를 조정하거나, 재할당할 수 없는 것에 규칙을 연결하십시오. 안정적인 주소 지정은 구성을 읽기 쉽게 만들지만 인증을 대체하지는 않습니다.

계획을 항목마다 소유자가 있는 목록으로 쓰고, 장치를 폐기할 때 검토하십시오. 쓰이지 않은 예약이 바로 실수로 다시 쓰이는 예약입니다.