Statiska OpenVPN IP katram klientam: ifconfig-push, nevis ipp.txt

Rindas rediģēšana ipp.txt šķiet kā adreses rezervēšana, bet tā nav. Šis fails, ko nosauc ifconfig-pool-persist, reģistrē, kāda adrese kopējam nosaukumam bija pēdējā reizē, lai baseins varētu atgriezt to pašu, kad tas ir ērti. Nekas tajā nesaista nākamo savienojumu ar šo numuru.

Veiciet tālāk norādītās pārbaudes secībā. Katra no tām vai nu apstiprina mehānismu, vai liek jums apstāties un salabot ievadi.

Kam domāts noturības fails

Fails pastāv, lai adreses saglabātos stabilas starp restartiem, kas padara atkārtotus savienojumus draudzīgākus un žurnālus vieglāk lasāmus. Tas tiek lasīts kā vēsture un rakstīts kā vēsture, un piešķiršanas ceļš paliek brīvs izvēlēties citu adresi, kad mājiens neder: cits baseins, pretrunīga piešķiršana vai klients, kas ieradās pēc baseina piepildīšanās. Tāpēc manuāls labojums var izskatīties ideāls failā un neko nemainīt savienojumā. Uztveriet to kā pagātnes lēmumu kešatmiņu, nevis politikas avotu.

Ja jums vajag konkrētu adresi konkrētam klientam, dokumentētais mehānisms ir ifconfig-push, un tas pieder konfigurācijai, kurai pieder šis klients.

Pārbaudiet, vai ir izvēlēts pareizais klients

Skaidra piešķiršana tiek meklēta pēc klienta kopējā nosaukuma, tāpēc fails, kas nosaukts nepareizajai identitātei, vienkārši nekad netiek lasīts. Apstipriniet, ko serveris uzskata par šī klienta nosaukumu, jo īpaši tur, kur username-as-common-name to maina pēc autentifikācijas. Pēc tam apstipriniet, ka faila nosaukums precīzi atbilst šai vērtībai, ieskaitot lielo un mazo burtu reģistru.

Padomājiet par vienlaicību, kamēr esat šeit. Ja duplicate-cn ir atļauts, vairākas ierīces var uzrādīt vienu un to pašu identitāti, un viena fiksēta adrese nevar būt unikāla visām. Izlemiet, vai fiksētā adrese ir tā vērta, lai atteiktos no vienlaicīgām sesijām šai identitātei, jo šīs divas prasības nevar izpildīt vienlaikus.

Pārbaudiet, vai skaitļi atbilst topoloģijai

Argumentu nozīme ir atkarīga no tuneļa topoloģijas, un tieši šeit nokopēts piemērs nodara vislielāko kaitējumu. Vecākajā net30 izkārtojumā katrs klients aizņem četru adrešu bloku, tāpēc push piegādā adrešu pāri. Apakštīkla topoloģijā klients saņem vienu adresi plus baseina masku, un pāra forma ir nepareiza. Izlasiet topoloģiju no darbojošās konfigurācijas pirms rindas rakstīšanas.

# /etc/openvpn/ccd/partner-a   (subnet topology)
ifconfig-push 10.44.0.61 255.255.255.0

Pārbaudiet adresi pret visu citu, kam tā varētu piederēt: citu skaidru piešķiršanu, dinamiskā baseina diapazonu un jebkuru statisko maršrutu, kas pieņem fiksētu resursdatoru. Adrese, kas pārklājas ar baseinu, darbosies, līdz baseins to atdos kādam citam, un šī kļūme izskatīsies nejauša.

Pārbaudiet rezultātu jaunā savienojumā

Esošā sesija saglabā tai piešķirto adresi, tāpēc vienīgais jēgpilnais tests ir jauns savienojums. Atvienojiet klientu, pievienojieties vēlreiz un nolasiet adresi, ko tas faktiski saņēma, kopā ar maršrutiem, kas atnāca līdzi. Ja adrese joprojām ir dinamiska, piešķiršana netika piemērota, un nākamais solis ir konfigurācijas meklēšana, nevis vēl viens vēstures faila labojums.

Turiet pierādījumus kopā: klienta nosaukumu, atbilstošo failu, piešķirto adresi un baseinu, no kura tā nāca.

Visbeidzot, fiksēta tuneļa adrese nav ierīces akreditācijas dati. Tā norāda vietu adrešu plānā, kamēr autentifikācija joprojām balstās uz sertifikātu un kontu. Abu sajaukšana pārvērš adrešu konfliktu drošības pieņēmumā, ko neviens nav pierakstījis.