OpenVPN-Server mat nopool: e explizitte Poolberäich deklaréieren

Server-Hëlferlecher konfiguréieren en Ënnersubnetz a fëllen et duerno mat engem dynamesche Pool no hirem eegenen Auswiel. Dee Standard ass bequem, bis e puer Adressen aus der Zoudeelung musse bleiwen — sief et fir fix Zoudeelunge reservéiert oder fir en zukünftegt Segment zréckgehalen. Den automatesche Pool z’ënnerdrécken an de Beräich selwer ze deklaréieren kascht zwou Linnen an eng bewosst Entscheedung driwwer, wéi eng Adressen net fir d’Zoudeelung sinn. De Rescht ass operationell Disziplin: Inventar, uwenden, iwwerpréiwen, zrécksetzen.

Dëst ass eng Ännerung un engem Service dee leeft, also behandelt se wéi eng operationell Aufgab: fir d’éischt Inventar, duerno uwenden iwwer den normale Liewenszyklus, iwwerpréiwe mat engem neie Client an eng prett Zrécksetzung.

Fänkt mam Ënnersubnetz un, deen Dir schonn hutt

Liest déi aktuell Serverkonfiguratioun an d’Adressen, déi d’Clienten tatsächlech halen. D’Poolännerung gëtt nëmmen a Bezuch op déi Basis Sënn, an d’Basis ass net ëmmer dat, wat d’Datei virschléit, well e verwaltent Produkt oder e Konfiguratiounsgenerator d’Datei ka besëtzen, déi Dir liest.

grep -nE '^(topology|server|ifconfig-pool|max-clients|client-config-dir)' /etc/openvpn/server/lab.conf
ip -4 addr show tun0

Bestätegt déi gëlteg Topologie. Bei der Subnet-Topologie hëlt all Client eng Adress aus dem Pool; méi al net30-Layouten deelen all Client e klengt Block zou an d’Arithmetik ass komplett anescht. Wann de Server nach op net30 ass, ass dës Säit de falsche Migratiounsguide an d’Poolzuele wäerten net dat bedeiten, wat Dir erwaart. Kontrolléiert déi Linn, ier Dir Adressarithmetik vun aneschtwäerts kopéiert.

Schreift d’Adress vum Server selwer op, all fix Zoudeelung am Verzeechnes vun de Clientkonfiguratiounen an all Adress, vun där eng Route oder eng Zougrëffsregel ofhänkt. Dat sinn d’Adressen, déi baussent dem dynamesche Beräich musse bleiwen. Se fir d’éischt opzeschreiwen ass dat, wat de Beräich zu enger Entscheedung amplaz zu enger Schätzung mécht. Et gëtt och der Zrécksetzung eppes Konkretes ze restauréieren.

Füügt nopool dobäi an deklaréiert de Beräich

D’Hëllef-Schlësselwuert akzeptéiert nopool, wat d’Subnetkonfiguratioun behält an den automateschen dynamesche Pool ënnerdréckt, wéi d’OpenVPN-2.6-Handbuch et beschreift. Duerno liwwert déi explizit ifconfig-pool-Linn de inklusive Beräich, deen Dir wëllt, an hir Netmask entsprécht dem Ënnersubnetz. Béid Linne gehéieren an dee selwechte Serverblock, well e Pool ouni säin Ënnersubnetz keng Bedeitung huet. D’Reiefolleg tëscht hinnen zielt nëmme fir d’Liesbarkeet, well den Hëlfer d’Paar beim Start vum Service entfalt.

topology subnet
server 10.70.0.0 255.255.255.0 nopool
ifconfig-pool 10.70.0.50 10.70.0.120 255.255.255.0

Béid Grenze sinn inklusiv, also bitt d’Beispill eenanndrassegt Adressen. Hält d’Serveradress an all fix Zoudeelung baussent deem Spann; eng fix Zoudeelung déi bannent dem dynamesche Beräich fält, mécht eng Kollisioun déi vun der Verbindungsreiefolleg ofhänkt, an dat ass déi schlëmmst Aart fir ze debuggen. Loosst en Abstand tëscht dem reservéierten Set an dem Beräich, wann déi fix Zoudeelungen méiglecherweis wuessen.

D’Gréisst vum Beräich an d’Gleichzäitegkeet sinn getrennt Limiten. Honnert Adressen heeschen net honnert gläichzäiteg Clienten, wann max-clients eppes anescht seet, an e Pool dee méi grouss ass wéi d’Gleichzäitegkeetslimit ass normal amplaz verschwenderesch. Wichteg ass, datt déi zwou Limiten bewosst gewielt ginn amplaz vun engem Standard geierft ze ginn.

Hält fix Zoudeelungen baussent dem dynamesche Beräich

E clientspezifeschen ifconfig-push ass en anere Mechanismus wéi d’Zoudeelung aus dem Pool, an en muss Parameter benotzen déi zu der aktiver Topologie passen. Am Subnet-Modus ass et eng eenzeg Adress an eng Netmask; en net30-Paar iwwerzehuelen, well et an engem ale Beispill opgetrueden ass, ass e gemeinsame Feeler.

D’Zoudeelungsgeschicht ass en Hiweis, net eng Autoritéit. Eng persist-Datei erënnert sech, wéi e Client wéi eng Adress hat, sou datt Clienten déi sech erëm verbannen éischter déiselwecht kréien, an se reservéiert keng Adressen, mécht se net fräi an ersetzt keng fix Zoudeelung. Wann e bestëmmten Apparat ëmmer eng bestëmmten Adress muss halen, benotzt eng fix Zoudeelung amplaz sech op d’persist-Datei ze verloossen.

Kontrolléiert duerno d’Weer, déi vun Adressen ofhänken. Eng Route déi op d’Clienten gedréckt gëtt, eng Firewallregel déi en Ënnersubnet zouloosst, oder eng Iwwerwaachungspréifung déi ene bestëmmten Host erwaart, kënnen alleguer den ale Beräich viraussetzen. De Pool änneren ouni se ze liesen, verréckelt de Feeler op eng Plaz déi onverbonnen ausgesäit.

Wend et iwwer de Liewenszyklus un, duerno iwwerpréift

Wend d’Ännerung sou un, wéi de Service normalerweis Konfiguratioun kritt — sief et eng direkt Datei plus en Neistart oder eng Verwaltungsschicht déi d’Datei nei generéiert. Eng manuell Ännerung un enger generéierter Datei iwwerlieft bis zur nächster Generatioun, an net méi laang. Notéiert wéi ee Mechanismus d’Datei besëtzt, well den nächsten Operateur wäert musse wëssen wou déiselwecht Ännerung ze maachen ass. Start dann eng Kéier nei a liest de Log, ier Dir en Client invitéiert.

systemctl restart openvpn-server@lab
journalctl -u openvpn-server@lab -n 30 --no-pager
# on a fresh client
ip -4 addr show tun0

Verbannt e Client dee virdru net verbonne war a bestätegt datt d’Adress bannent dem deklaréierte Beräich a baussent dem reservéierte Set fält. Bestätegt duerno de Retourwee: de Client soll erreechen wat d’Politik erlaabt an näischt méi. Eng Adress déi zum Plang passt awer keng funktionéierend Route huet, ass keng gelungen Ännerung.

Verbannt erëm e Client deen eng Adress aus dem ale Beräich hat. En soll eng Adress aus dem neie Beräich kréien, an all Sessiounsniveau-Zoustand dee mat der aler Adress verbonnen ass, soll fort sinn. Wa en déi al Adress behält, deelt eppes anescht se zou an de Pool ass net den Eegentemer deen Dir denkt.

Eng Beräichsännerung zrécksetzen

Hält déi vireg dräi Linne an Ärem Ännerungsprotokoll, net nëmmen déi vireg Datei. Se restauréieren an nei starten bréngt d’Zoudeelung zréck op dat aalt Verhalen, a Clienten déi duerno sech erëm verbannen, kréien Adressen dovun.

Zwou Warnungen gehéieren an de Protokoll. Clienten déi schonn verbonne sinn wann Dir zrécksetzt behalen hir aktuell Adressen bis se sech erëm verbannen, also ass eng Zrécksetzung net direkt iwwer d’ganz Flott. An wann den ale Beräich mat enger fixer Zoudeelung iwwerlappt huet, restauréiert d’Restauratioun dovun och d’Kollisioun; genee déi Iwwerlappung war de Grond fir d’Ännerung, an se brauch eng aner Léisung wéi eng Zrécksetzung.

Eng Poolännerung ass fäerdeg wann en neie Client eng Adress bannent dem Beräich kritt, eng reservéiert Adress ni ausginn gëtt an d’Weer an d’Reegelen déi déi Adressen notzen sech weiderhi verhalen wéi virgesinn. Alles manner léisst déi nächst Persoun erausfannen wéi eng vun den dräi net stëmmt.