Statisch OpenVPN-IP pro Client: ifconfig-push, net ipp.txt

Eng Zeil an ipp.txt z'änneren fillt sech wéi eng Adress ze reservéieren, an et ass keng. Déi Datei, déi vum ifconfig-pool-persist genannt gëtt, hält fest, wéi eng Adress en gemeinsamen Numm déi leschte Kéier hat, sou datt de Pool déi selwecht kann zréckginn, wann et gëeegent ass. Näischt dran bënnt déi nächst Verbindung un déi Nummer.

Fuert d'Kontrollen hei drënner der Rei no aus. All eenzel bestätegt entweder de Mechanismus oder seet Iech stoppen an en Input reparéieren.

Firwat d'Persistenzdatei ass

D'Datei existéiert fir Adressen iwwer Neistarts hiweg stabil ze halen, wat Reconnecten méi frëndlech a Loggen méi einfach ze liese mécht. Si gëtt als Geschicht gelies an als Geschicht geschriwwen, an den Allocatiounswee bleift fräi eng aner Adress ze wielen, wann den Hiweis net passt: en anere Pool, eng konfliktend Zousetzung oder e Client, deen ukomm ass nodeems de Pool voll war. Dofir kann eng manuell Ännerung an der Datei perfekt ausgesinn an näischt un der Verbindung änneren. Behandelt se als Cache vun de fréieren Entscheedungen, net als Quell vun der Politik.

Wann Dir eng spezifesch Adress fir e spezifesche Client braucht, ass den dokumentéierte Mechanismus ifconfig-push, an et gehéiert an d'Konfiguratioun, déi deem Client gehéiert.

Kontrolléiert, datt de richtegen Client ausgewielt ass

Eng explizit Zousetzung gëtt iwwer de gemeinsamen Numm vum Client nogekuckt, also eng Datei, déi op déi falsch Identitéit genannt ass, gëtt einfach ni gelies. Bestätegt, wat de Server als Numm vun deem Client ugesäit, besonnesch do wou username-as-common-name en no der Authentifikatioun ännert. Bestätegt duerno, datt den Dateinumm genee deem Wäert entsprécht, Grouss- a Klengschreiwung abegraff.

Denkt un d'Gleichzäitegkeet, während Dir hei sidd. Wann duplicate-cn erlaabt ass, kënnen e puer Apparater déi selwecht Identitéit presentéieren, an eng fix Adress kann net fir all eenzel eenzegaarteg sinn. Entscheet, ob déi fix Adress et wäert ass, gläichzäiteg Sessiounen fir déi Identitéit ofzeleenen, well déi zwou Ufuerderungen net gläichzäiteg erfëllt kënne ginn.

Kontrolléiert, datt d'Zuelen zur Topologie passen

D'Bedeitung vun den Argumenter hänkt vun der Tunnel-Topologie of, an hei riicht e kopéierte Beispill de gréissten Schued un. An der eelerer net30-Anuerdnung besetzt all Client e Block vu véier Adressen, also gëtt de Push eng Koppel Adressen. An der Subnetz-Topologie kritt de Client eng Adress plus d'Mask vum Pool, an d'Koppelform ass falsch. Liest d'Topologie aus der lafender Konfiguratioun, ier Dir d'Zeil schreift.

# /etc/openvpn/ccd/partner-a   (subnet topology)
ifconfig-push 10.44.0.61 255.255.255.0

Kontrolléiert d'Adress géint alles anescht, wat se kéint besëtzen: eng aner explizit Zousetzung, de Beräich vum dynamische Pool an all statesch Route, déi e fixen Host unhëlt. Eng Adress, déi de Pool iwwerlappt, wäert funktionéieren, bis de Pool se engem aneren gëtt, an dee Feeler wäert zoufälleg ausgesinn.

Kontrolléiert d'Resultat op enger neier Verbindung

Eng existent Sessioun behält d'Adress, déi se krut, also ass den eenzege sënnvolle Test eng nei Verbindung. Trennt de Client, verbënnt erëm, a liest d'Adress, déi en tatsächlech krut, zesumme mat de Route, déi matkomm sinn. Wann d'Adress nach ëmmer dynamesch ass, gouf d'Zousetzung net ugewannt, an den nächsten Schrëtt ass d'Sich an der Konfiguratioun an net nach eng Ännerung un der Geschichtsdatei.

Halt d'Beweiser beienee: den Clientnumm, d'Datei déi gepasst huet, déi zougesoten Adress an de Pool, vun deem se koum.

Schlussendlech, eng fix Tunneladress ass kee Apparat-Ausweis. Si markéiert eng Plaz am Adressplang, während d'Authentifikatioun weider um Zertifikat an um Kont berout. D'Verwiesselung vun deenen zwee mécht aus engem Adresskonflikt eng Sécherheetsannahm, déi keen opgeschriwwen huet.