Wéi een e VPN-Client-Adresspool plangt, dee passt

Fänkt am Poolfeld um VPN-Server un, net an enger Tabell. Wat Dir do agitt, gëtt den internen Adressraum fir all Client, dee sech duerno verbënnt, an en muss mam LAN, deen dës Clienten erreechen, de gerouteten Site hannendrun an all Adress, déi de Client schonn doheem huet, koexistéieren. Verbënnt een Client soubal de Pool gespäichert ass, well déi éischt Verbindung Iech seet, ob de Wäert an der Praxis funktionéiert. Vun do geet de Wee no baussen: d'Adress, déi de Client krut, den Wee, deen eng Äntwert hëlt, an de Vermierk, deen Dir hannerloosst.

Fänkt am Poolfeld un, ier sech ee Client verbënnt

All Produkt weist dat anescht, also fannt den Objet, deen tatsächlech Adressen zoudeelt. OpenVPN huet eng Pool-Direktiv op der Serversäit, déi déi nächst fräi Adress vergëtt, en IKEv2-Gateway huet e Poolabschnitt, deen un d'Peer-Konfiguratioun gebonnen ass, an WireGuard huet keng vun deenen zwou, well all Peer seng eegen Adress a senger Konfiguratiounsdatei dréit. Eng Pool-Direktiv an eng Adress pro Peer sinn net austauschbar, an déi falsch ze änneren verschwend de Rescht vum Wee.

Wann Dir d'Feld hutt, listet d'Beräicher op, déi schonn existéieren: de Büro-LAN, all geroutete Site, d'Cloud-VPC an all anere Pool, deen nach am Betrib ass. D'Overlap entscheet sech duerch Präfix-Arithmetik, net doduerch, ob d'Hostzuelen vertraut ausgesinn, also vergläicht den Aggregat mat jidderengem vun dëse Beräicher. Zwee Beräicher, déi allebéid wéi 10.x ausgesinn, si harmlos, wann hir Aggregate sech net schneiden, an e Support-Fall, wann se sech schneiden.

Dann entscheet, ob d'Adress eng Funktioun dovun ass, wien sech verbënnt, oder dovun, wéini se sech verbënnen. Dynamesch Zoudeelung vergëtt wat fräi ass, wärend d'Zoudeelung pro Identitéit eng fest Adress un en Zerifikat bënnt. Schreift d'Wiel op, well si ännert, wéi eng Reconnectioun spéider ausgesi soll.

Liest d'Adress, déi de Client tatsächlech krut

Verbënnt een Client a liest wat den Tunnel mëllt, net wat de Pool versprach huet. De Client weist seng intern Adress am Verbindungsstatus, an ënner Linux dréit d'Interface se direkt.

Vergläicht déi Adress mam Beräich, deen Dir gespäichert hutt. Wann se baussent dem Beräich läit, kuckt Dir en aneren Zoudeelungswee wéi deen, deen Dir geännert hutt. Kontrolléiert och d'Präfixlängt, well e Client mat enger /32 kee Peer op der Verbindung huet an all Destinatioun iwwer seng Standardroute schéckt.

ip -4 addr show tun0
ip route get 192.168.50.20

E Client, dee sech vun engem Heemrouter mat demselwechte Beräich verbënnt, wäert sech verbënnen an dann bal näischt erreechen. De Client behält seng lokal Route fir dee Präfix, sou datt d'Tunneladress mat dem Netz hannendrun kollidéiert an den Trafic iwwer déi falsch Interface erausgeet. Dee Fall ka net um Server reparéiert ginn; déi dokumentéiert Léisung ass den Heemnetz nei ze nummeréieren oder e Poolberäich ze wielen, dee wäit genuch ewech ass, fir datt Kollisiounen seelen bleiwen. Notéiert souwuel de Feeler wéi och d'Léisung, well den Helpdesk wäert him nach eng Kéier begéinen.

Verbindt dee selwechte Client nach eng Kéier a beobacht d'Adress. En dynamesche Pool kann dee selwechte Wäert oder en aneren zréckginn an allebéid ass richteg, wärend e Pool pro Identitéit, deen d'Adress ännert, d'Bannung net respektéiert. Dee Kontroll dauert Sekonnen an entscheet, ob de Modus, deen Dir am éischten Abschnitt notéiert hutt, de Modus ass, dee gëllt.

Verfollegt eng Äntwert vum Service zréck

De Pool funktionéiert nëmmen, wann Äntwerten zréck bei hien reesen kënnen. E Service um LAN äntwert op d'intern Adress, also brauch säi Gateway eng Route fir de Pool oder eng Iwwersetzung virum Service. Wann eng Ufro duerch den Tunnel kënnt an d'Äntwert iwwer en anere Wee erausgeet, verwërft eng zoustänneg Firewall oder eng Ëmwee-Kontroll se, an de Client gesäit e Service, dee sech verbënnt an dann hänkt. Setzt de Pool an den Routing-Entworf als ee summarybare Block, amplaz Route pro Host derbäizefügen.

D'Iwwersetzung ännert, wat de Rescht vum System gesäit. Wann d'Quell nei geschriwwen gëtt, ass d'Adress an der Host-Firewall an am Applikatiounslog déi iwwersat, also passt eng Regel, déi géint d'Pooladress geschriwwen ass, op näischt an eng Logzeil kann net op e Client zréckverfollegt ginn. D'strongSwan-Dokumentatioun iwwer d'Weiderginn deckt d'Serversäit-Halschent vun deem Wee fir en IKEv2-Gateway of. DNS dréit déiselwecht Aschränkung, well en Numm, deen op eng Adress opléist, déi de Client net erreeche kann, méi spéit an anerwäerts feelt.

Zwee Clienten, dann eng Widderruffung

Verbindt zwee Clienten zur selwechter Zäit a liest béid Adressen. Si mussen ënnerschiddlech, brauchbar an am Pool sinn, an jidderee muss de Service erreechen, fir deen en geduecht ass. E Pool, deen duebel Adressen ausgëtt, weist sech meeschtens hei a net am éischten Test mat engem Client.

Widderruft en Zerifikat, wärend deen anere Client verbonnen bleift, a probéiert dann de Service vum iwwerliewenden Client. Eng Widderruffung, déi déi aner Sitzung stéiert, weist op gedeelten Zoustand hin, meeschtens en Zerifikat oder eng Adress, déi iwwer Geräter erëm benotzt gëtt. Verbënnt de widderrufene Client nach eng Kéier a bestätegt, datt hie verworf gëtt, amplaz déi befreit Adress ze kréien.

Schléisst mat enger Destinatioun of, déi soll verworf ginn. E Client, deen alles erreecht, gouf verbonnen, net getest.

Schreift déi véier Wäerter dohin, wou déi nächst Ännerung se fënnt

De Vermierk ass kuerz: de Poolberäich an de Präfix, de Zoudeelungsmodus, den Zréckwee oder d'Iwwersetzung am Gebrauch an den DNS-ëmfang, deen op déi Destinatiounen äntwert. Setzt en nieft d'Serverkonfiguratioun an net an en Ticket, a datéiert en. Wien spéider ee vun de véier ännert, brauch déi aner dräi viru sech, well eng Poolgréisst-Ännerung d'Route brécht an eng Route-Ännerung d'DNS-Äntwert brécht.

Halt d'Eegentumsnotiz dobäi: de Tunnelberäich gehéiert dem VPN-Server, an eng Reservatioun, déi am DHCP-Beräich vum LAN gemaach gouf, reservéiert näischt fir e Client am Tunnel. Déi eng Zeil verhënnert déi heefegst Nomaarbecht, wou een eng Reservatioun derbäisetzt an erwaart, datt d'Tunneladress hir follegt.