Stabil OpenVPN-Adressen solle der Identitéit folgen, net der Quell-IP

Adresspläng déi soen „dëse Laptop kritt 10.90.0.10“ sinn eigentlech Aussoen iwwer Identitéit: wécheen authentifizéierten Apparat dës Adress dierf halen. D’aktuell ëffentlech IP vun deem Apparat huet bal näischt domat ze dinn, well NAT a Roaming se änneren, ouni ze änneren wien de Benotzer ass. De Plang op der Quelladress opbauen ergëtt Reegelen déi um éischten Hotelnetz briechen. En op der authentifizéierter Identitéit opbauen ergëtt e Plang dee Reesen iwwersteet.

Fänkt domat un wat de Server verifizéiere kann, a entscheet dann wofir d’Adress ass.

Wielt den Identitéitsschlëssel virun der Adress

E separat Clientszertifikat pro Apparat gëtt dem Server e stabile, verifizéierbare Schlëssel fir all Member, wat déi propperst Basis fir eng statesch Zouweisung ass. Eng Installatioun mat Authentifikatioun pro Benotzer kann amplaz den Benotzernumm huelen, soulaang d’Konfiguratiounswiel dat selwecht Feld verfollegt. Béid Modeller mëschen ergëtt Zouweisungen déi fir een Client op en Zertifikat passen a fir en aneren op e Benotzernumm, an et kann een net viraussoen wien gewënnt. Entscheet wéi ee Schlëssel de Plang benotzt, ier Dir eng eenzeg Reservatioun schreift.

Mat duplicate-cn kënnen e puer gläichzäiteg Sessiounen deeselwechten allgemengen Numm presentéieren, dofir kann eng festgehal Adress se net eenzel identifizéieren. Dat ass eng Eegenschaft vum Identitéitsmodell, net eppes wat e bessere Adressplang reparéiere kann.

Reservéiert Adressen ausserhalb vum dynamesche Beräich

An engem Netz mat Subnetz-Topologie wéi 10.90.0.0/24, haalt déi niddreg Adressen fir benannte Memberen a setzt den dynamesche Pool an en getrennte Beräich. Eng Zouweisung fir e festgehalene Member gesäit esou aus ifconfig-push 10.90.0.10 255.255.255.0 an der Datei déi de Server fir déi Identitéit auswielt. Dat zweet Argument heescht ënner net30 eppes anescht, dofir ass d’Beispill net topologie-neutral. Liest d’Topologie ier Dir se kopéiert.

D’Persistenz vum Pool registréiert rezent Leasen a si huet d’Tendenz déiselwecht Adress zréckzeginn, wat eng Béquemlechkeet ass an net eng Reservatioun. Loosst d’Persistenzdatei net den Eigentumsregister ginn, well si ännert sech mat der Verbindungsgeschicht an net mat der Politik.

D’Prioritéit vun der Zouweisung entscheet wien gewënnt

D’Handbuch dokumentéiert eng Uerdnung: eng explizit Zouweisung déi während client-connect entsteet ka virun engem client-config-dir-Antrëtt wirksam ginn, deen dovunner der gewéinlecher Pool-Zouweisung virugoe geet. Dës Uerdnung erkläert déi meescht Rapporten „déi festgehal Adress gouf net ugewannt“. Si bedeit och datt en dynameschen Allokator dee Konfiguratioun pro Sessioun schreift eng statesch Datei, déi Dir als autoritativ ugesinn hutt, stëll iwwerschreiwe kann.

Wielt eng Schicht déi d’Zouweisungen besëtzt a maacht déi aner nëmme liesbar. Zwou Schichten déi allebéid behaapten ze entscheeden erginn Zouweisungen déi vum Timing ofhänken.

En dynameschen Allokator brauch deeselwechte Modell

Eng client-connect-Integratioun déi Adressen pro Sessioun verdeelt ass en klengen Allokator mat de gewéinlechen Allokatorproblemer. Hie muss d’ufroend Identitéit validéieren, eng Adress atomar reservéieren, nëmmen déi ënnerstëtzt Ausgab pro Verbindung ausginn an d’Reservatioun bei Trennung oder Feeler fräiginn. Gläichzäiteg Ufroe brauchen e Spär oder eng Datebankbedingung, net eng Liese-dann-Schreiwen-Sequenz. Ouni Botzen leeft de Pool Adressen aus bis zum Neistart.

Haalt den Zoustand vum Allokator do wou den nächsten Operateur en liese kann, a loggt d’Entscheedung Identitéit-zu-Adress an net nëmmen d’Adress.

Entscheet ob d’Adress Politik oder Béquemlechkeet ass

Wann eng Firewall-Reeg oder eng Route Verkéier vun enger Tunneladress erlaabt, da beleet d’Adress un der Zougrëffspolitik a si eng Neizouweisung iwwerhëlt déi Erlaabnes. Koordinéiert de Liewenszyklus vun Identitéit, Adress a Firewall, oder bënnt d’Reeg un eppes wat net nei zougewisen ka ginn. Stabil Adresséierung mécht d’Konfiguratioun liesbar; si ersetzt keng Authentifikatioun.

Schreift de Plang als Inventar mat engem Eigentümer pro Antrëtt, a revidéiert en wann en Apparat ausser Betrib geholl gëtt. Déi onbenotzt Reservatioun ass déi déi duerch Zufall erëm benotzt gëtt.