Statiniai OpenVPN klientų adresai už OPNsense

Vardams reikia adresų, kurie nejuda, o OpenVPN telkinio failas tik padaro adresą lipnų. Praraskite tą failą arba išduokite sertifikatą iš naujo kitu bendruoju vardu, ir grįžtantis klientas atsidurs kitur telkinyje, o jo DNS įrašas vis dar rodo į seną adresą. Ilgalaikis atsakymas yra klientui būdingas perrašymas, kuris prisega adresą, ir platesnis tunelio tinklas, kad prisegti adresai būtų už dinaminio diapazono ribų. Aritmetika, kuri slypi už to išplėtimo, yra vieta, kur gyvena didžioji dalis sumaišties.

OPNsense laiko tuos perrašymus serverio klientui būdinguose nustatymuose, raktu naudodama sertifikato bendrąjį vardą, todėl bendrasis vardas tampa adresų plano dalimi.

Lipni nuoma nėra statinis adresas

Telkinio failas įrašo adreso ir kliento susiejimus ir grąžina juos, kai žinomas klientas vėl prisijungia. Tai patogumas, o ne sutartis: failą galima generuoti iš naujo, susiejimas išnyksta pasikeitus kliento tapatybei, o du serveriai, bendrai naudojantys telkinį, dėl to nesutars. Klientui būdingas perrašymas veikia kitaip, nes adresas ateina iš konfigūracijos, o ne iš istorijos. Jis taip pat išlieka po perkrovimo ir įrenginio perdiegimo, jei perrašymas atsarginamas kartu su likusia konfigūracija.

Dinaminė alternatyva, VPN prijungimas prie DNS naudojant kliento prisijungimo scenarijų ir dinaminius atnaujinimus, veikia ir reikalauja resolverio, kuris priima atnaujinimus, bei scenarijaus prie kiekvieno prisijungimo. Įrenginyje esate apriboti gamintojo siunčiamų paketų, ir paprastai čia tas planas ir sustoja.

/30 aritmetika, kurios niekas nemėgsta

Numatytosios net30 topologijos atveju kiekvienas klientas gauna savo /30: pirmasis naudojamas adresas atitenka serverio pusei, antrasis – klientui. Todėl perrašymai turi būti už serverio dinaminio tunelio tinklo ribų, o tai reiškia, kad pirmiausia reikia išplėsti tą tinklą. Serveris, esantis 10.8.0.0/24, gali persikelti į 10.8.0.0/23, palikdamas pusę senojo diapazono dinaminiams klientams, o kitą pusę – perrašymams. Pridėkite originalų /24 kaip papildomą vietinį IPv4 tinklą, kad srautas į abi puses patektų į tunelį.

Kiekvienas perrašymo adresas turi patekti ant /30 ribos, todėl paskutinis oktetas yra keturių kartotinis. /30 adresu 10.8.1.0 duoda klientui 10.8.1.2, ir tai yra adresas, kurį neša DNS įrašas. Pasirinkus vietoj to 10.8.1.3, gaunamas klientas, kuris prisijungia ir negali praleisti srauto, nes adresas priklauso potinkliui, kurio topologija jam niekada neskirstė.

Planą lengviau išlaikyti, jei perrašymai skiriami nuo išplėsto diapazono viršaus žemyn, kad dinaminis telkinys plėstųsi į laisvą erdvę, o ne aplink fiksuotas salas.

Vietiniai tinklai ir zona, kurios klausia klientai

Kliento ir kliento srautui reikia atskiro leidimo. Serverio vietinių IPv4 tinklų sąraše turi būti abi diapazono pusės, dinaminė ir statinė; be jo serveris priima paketą iš vieno kliento ir neturi taisyklės, leidžiančios jį perduoti kitam. Simptomas atrodo kaip DNS gedimas, nes vardas išsprendžiamas, o ryšys vis tiek nutrūksta. Tuo pačiu metu patikrinkite kliento ir kliento nustatymą, nes vien vietinio tinklo įrašas neįgalina persiuntimo tarp lygiaverčių mazgų.

Paskelbkite įrašus zonoje, kurios iš tiesų klausia nuotoliniai klientai. Įrašas zonoje, kurią aptarnauja tik LAN resolveris, yra nematomas klientui, kurio stumiamas resolveris rodo kitur, o daugiau įrašų netinkamoje zonoje to niekada nepataiso. Patvirtinkite stumiamą DNS parinktį ir paieškos domeną prieš ką nors pridėdami.

Ką patikrinti naujame prisijungime

Prisijunkite klientą iš naujo ir prieš testuodami ką nors kita patvirtinkite, kad priskirtas adresas atitinka jo perrašymą. Tada išspręskite vardą iš antro kliento ir prisijunkite prie paslaugos pagal vardą, o tai kartu patikrina DNS įrašą, maršrutą ir užkardą. Patvirtinkite atsakymo kelią serverio pusėje, nes vardas, kuris išsprendžiamas, o paslauga lieka nepasiekiama, yra maršrutizavimo arba politikos problema, o ne pavadinimo problema. Laikykite perrašymų lentelę šalia sertifikatų sąrašo, kad abu būtų peržiūrimi kartu.

Sertifikatas, išduotas iš naujo kitu bendruoju vardu, nustoja atitikti savo perrašymą ir grąžina klientą į dinaminį telkinį. Tikėkitės to po bet kurio tapatybės pasikeitimo.