Statesch OpenVPN-Client-Adressen hannert OPNsense

Nimm brauchen Adressen, déi sech net beweegen, an d’Pool-Datei vun OpenVPN mécht eng Adress just klebrig. Verléier déi Datei, oder gëff en Zertifikat ënner engem aneren allgemengen Numm eraus, an de Client, deen zréckkënnt, landt soss an der Pool, wärend säin DNS-Andrag nach ëmmer op déi al Adress weist. D’dauerhaft Äntwert ass eng clientspezifesch Iwwerschreiwung, déi d’Adress festpinnt, plus e méi breeden Tunnelnetz, sou datt déi festgepinnt Adressen ausserhalb vum dynamesche Beräich leien. D’Arithmetik hannert där Verbreedung ass do, wou de gréissten Deel vun der Verwirrung wunnt.

OPNsense hält déi Iwwerschreiwungen an de clientspezifeschen Astellunge vum Server, geschlësselt op den allgemengen Numm vum Zertifikat, wat den allgemengen Numm zu engem Deel vum Adressplang mécht.

Eng klebrig Lease ass keng statesch Adress

D’Pool-Datei schreift Adress-zu-Client-Zouuerdnungen a gëtt se zréck, wann en bekannte Client sech erëm verbënnt. Dat ass Komfort an net e Kontrakt: d’Datei kann nei generéiert ginn, d’Zouuerdnung verschwënnt, wann d’Identitéit vum Client sech ännert, an zwee Server, déi eng Pool deelen, wäerten net d’accord sinn. Eng clientspezifesch Iwwerschreiwung funktionéiert anescht, well d’Adress aus der Konfiguratioun kënnt an net aus der Geschicht. Si iwwerlieft och en Neistart an eng Reinstallatioun vum Apparat, soulaang d’Iwwerschreiwung mam Rescht vun der Konfiguratioun geséchert gëtt.

Déi dynamesch Alternativ, d’VPN mat engem Client-Verbindungsskript an dynameschen Aktualiséierungen an DNS ze verbannen, funktionéiert a verlaangt e Resolver, deen Aktualiséierungen akzeptéiert, plus e Skript bei all Verbindung. Op engem Apparat sidd Dir op d’Paketen limitéiert, déi de Verkeefer liwwert, an do hält dee Plang meeschtens op.

D’/30-Arithmetik, déi keen genéissen

Ënner der Standard-Net30-Topologie kritt all Client säin eegenen /30: déi éischt brauchbar Adress geet op d’Serversäit, déi zweet op de Client. Iwwerschreiwungen mussen dofir ausserhalb vum dynameschen Tunnelnetz vum Server leien, wat heescht, datt dat Netz fir d’éischt verbreet muss ginn. E Server op 10.8.0.0/24 kann op 10.8.0.0/23 Wiesselen, an d’Halschent vum ale Beräich fir dynamesch Clienten an déi aner Halschent fir Iwwerschreiwungen hannerloossen. Füügt den originelle /24 als zousätzlecht lokal IPv4-Netz derbäi, sou datt den Traffic an déi zwou Halschenten an den Tunnel geet.

All Iwwerschreiwungsadress muss op eng /30-Grenz falen, also ass dat lescht Oktett e Multiple vun véier. E /30 op 10.8.1.0 gëtt dem Client 10.8.1.2, an dat ass d’Adress, déi den DNS-Andrag dréit. Wann Dir amplaz 10.8.1.3 wielt, kritt Dir e Client, dee sech verbënnt an deen Traffic net kann duerchloossen, well d’Adress zu engem Subnet gehéiert, dat d’Topologie him ni zougewisen huet.

De Plang ass méi liicht ze halen, wann d’Iwwerschreiwungen uewen um verbreeten Beräich erof zougewisen ginn, sou datt d’dynamesch Pool sech an de fräie Raum ausdeelt, amplaz ëm fix Inselen.

Lokal Netzwierker an d’Zone, déi d’Cliente froen

Client-zu-Client-Traffic brauch seng eege Erlaabnis. D’Lëscht vun de lokalen IPv4-Netzwierker vum Server muss déi zwou Halschente vum Beräich enthalen, dynamesch a statesch; ouni si akzeptéiert de Server e Pak vun engem Client a huet keng Politik, déi en duerchloosse kann. D’Symptom liest sech wéi e DNS-Feeler, well den Numm sech opléist an d’Verbindung trotzdem feelt. Kontrolléiert gläichzäiteg d’Astellung Client-zu-Client, well en Andrag fir e lokalt Netz eleng d’Weiderleede tëscht Peers net aktivéiert.

Publizéiert d’Andräg an der Zone, déi wäit ewech Cliente wierklech froen. En Andrag an enger Zone, déi just vum LAN-Resolver bedéngt gëtt, ass onsiichtbar fir e Client, deem säi gedréckten Resolver soss anzwuers weist, a méi Andräg an déi falsch Zone derbäizesetzen reparéiert dat ni. Bestätegt déi gedréckt DNS-Optioun an d’Sichdomän ier Dir eppes derbäisetzt.

Wat op enger neier Verbindung ze kontrolléieren ass

Verbënnt de Client erëm a bestätegt, datt déi zougewisen Adress zu senger Iwwerschreiwung passt, ier Dir eppes anescht testet. Léist dann den Numm vun engem zweete Client a verbënnt Iech mam Service iwwer den Numm, wat den DNS-Andrag, d’Route an d’Firewall zesummen test. Bestätegt de Réckwee op der Serversäit, well en Numm, deen sech opléist, während de Service onereechbar bleift, e Routing- oder Politikproblem ass an net e Nummproblem. Halt d’Iwwerschreiwungstabell niewent der Zertifikatslëscht, sou datt béid zesummen iwwerpréift ginn.

En Zertifikat, dat ënner engem aneren allgemengen Numm nei erausgëtt gëtt, passt net méi zu senger Iwwerschreiwung a schéckt de Client zréck an d’dynamesch Pool. Erwaart dat no all Identitéitsännerung.