OPNsense артындагы OpenVPN кардарларынын статикалык дареги
pool файлы даректи жабышкак кылат, туруктуу эмес. Кардар даректерин override менен бекитиңиз, /30 арифметикасы үчүн туннелдин диапазонун кеңейтиңиз, анан аларды жарыялаңыз.
Аттар кыймылдабаган даректерди талап кылат, ал эми OpenVPNдин pool файлы даректи жөн гана жабышкак кылат. Ошол файлды жоготсоңуз, же сертификатты башка жалпы ат менен кайра чыгарсаңыз, кайтып келген кардар pool ичинде башка жерге түшөт, анын DNS жазуусу дагы эле эски даректи көрсөтүп турат. Туруктуу жооп — даректи бекиткен кардарга тиешелүү override, кошумча кененирээк туннел тармагы, ошондо бекитилген даректер динамикалык диапазондон тышкары турат. Ошол кеңейтүүнүн артындагы арифметика — башаламандыктын көбү жашаган жер.
OPNsense бул override'дорду сервердин кардарга тиешелүү жөндөөлөрүндө сактайт, ачкычы сертификаттын жалпы аты, бул жалпы атты дарек планынын бөлүгү кылат.
Жабышкак ижара статикалык дарек эмес
pool файлы дарек-кардар дал келүүлөрүн жазат жана белгилүү кардар кайра туташканда аларды кайтарат. Бул келишим эмес, ыңгайлуулук: файлды кайра жаратууга болот, кардардын инсандыгы өзгөргөндө дал келүү жоголот, ал эми бир poolду бөлүшкөн эки сервер бул тууралуу макулдашпайт. Кардарга тиешелүү override башкача иштейт, анткени дарек тарыхтан эмес, конфигурациядан келет. Ал ошондой эле түзмөктүн кайра жүктөлүшүнө жана кайра орнотулушуна туруштук берет, эгер override калган конфигурация менен бирге камдык көчүрмөгө алынса.
Динамикалык альтернатива, башкача айтканда VPNди client-connect скрипти жана динамикалык жаңыртуулар менен DNSке туташтыруу, иштейт жана жаңыртууларды кабыл алган resolverди, кошумча ар бир туташууда скриптти талап кылат. Түзмөктө сиз жеткирүүчү сунуштаган пакеттер менен чектелесиз, жана адатта ошол жерде бул план токтойт.
Эч ким жактырбаган /30 арифметикасы
Демейки net30 топологиясында ар бир кардар өзүнүн /30ин алат: биринчи колдонууга жарактуу дарек сервер тарапка, экинчиси кардарга кетет. Ошондуктан override'дор сервердин динамикалык туннел тармагынан тышкары болушу керек, бул адегенде ошол тармакты кеңейтүүнү билдирет. 10.8.0.0/24теги сервер 10.8.0.0/23кө өтө алат, эски диапазондун жарымын динамикалык кардарларга, экинчи жарымын override'дорго калтырып. Баштапкы /24тү кошумча IPv4 жергиликтүү тармак катары кошуңуз, ошондо эки жарымга тең трафик туннелге багытталат.
Ар бир override дареги /30 чегине түшүшү керек, ошондуктан акыркы октет төрткө эселүү. 10.8.1.0деги /30 кардарга 10.8.1.2 берет, ал эми DNS жазуусу ташыган дарек ошол. Анын ордуна 10.8.1.3 тандаса, туташкан барак трафикти өткөрө албаган кардар пайда болот, анткени дарек топология ага эч качан бербеген кошумча тармакка таандык.
Планды сактоо жеңил, эгер override'дор кеңейтилген диапазондун үстүнөн ылдый бөлүнсө, ошондо динамикалык pool бекитилген аралдардын айланасында эмес, бош мейкиндикке кеңейет.
Жергиликтүү тармактар жана кардарлар сураган аймак
Кардардан кардарга трафик өзүнүн уруксатын талап кылат. Сервердин IPv4 жергиликтүү тармактар тизмесине диапазондун эки жарымы тең кириши керек, динамикалык жана статикалык; ансыз сервер бир кардардан пакетти кабыл алат жана аны экинчисине өткөрүүгө уруксат берген саясаты жок. Белги DNS бузулушуна окшош, анткени ат чечилет, ал эми туташуу дагы эле ишке ашпайт. Ошол эле учурда кардардан кардарга жөндөөсүн да текшериңиз, анткени жалгыз жергиликтүү тармак жазуусу теңтуштар ортосунда өткөрүүнү иштетпейт.
Жазууларды алыскы кардарлар чындыгында сураган аймакта жарыялаңыз. LAN resolver гана тейлеген аймактагы жазуу, түртүлгөн resolver башка жакты көрсөткөн кардар үчүн көрүнбөйт, ал эми туура эмес аймакка кошумча жазуу кошуу муну эч качан оңдобойт. Бир нерсени кошуудан мурун түртүлгөн DNS опциясын жана издөө доменин ырастаңыз.
Жаңы туташууда эмнени текшерүү керек
Кардарды кайра туташтырыңыз жана башка нерсени сынаардан мурун берилген даректин анын override'уна дал келүүсүн ырастаңыз. Анан атты экинчи кардардан чечип, кызматка ат менен туташыңыз, бул DNS жазуусун, маршрутту жана firewallды бирге сынайт. Сервер тарапта жооп жолун ырастаңыз, анткени ат чечилип, кызмат жеткиликсиз бойдон калса, бул ат коюу эмес, маршруттоо же саясат маселеси. override таблицасын сертификаттар тизмесинин жанында кармаңыз, ошондо экөө бирге каралат.
Башка жалпы ат менен кайра чыгарылган сертификат өзүнүн override'уна дал келүүнү токтотуп, кардарды динамикалык poolго кайтарат. Ар кандай инсандык өзгөрүүсүнөн кийин муну күтүңүз.