Statiskas OpenVPN klientu adreses aiz OPNsense
Pula fails padara adresi lipīgu, nevis pastāvīgu. Piespraudiet klientu adreses ar pārrakstiem, paplašiniet tuneļa diapazonu /30 aritmētikai un pēc tam publicējiet tās.
Nosaukumiem vajadzīgas adreses, kas nekustas, un OpenVPN pula fails tikai padara adresi lipīgu. Pazaudējiet šo failu vai atkārtoti izsniedziet sertifikātu ar citu kopīgo nosaukumu, un atgriežošais klients nonāks citur pulā, kamēr tā DNS ieraksts joprojām norāda uz veco adresi. Izturīgā atbilde ir klientam raksturīgs pārraksts, kas piefiksē adresi, un plašāks tuneļa tīkls, lai piefiksētās adreses būtu ārpus dinamiskā diapazona. Aritmētika aiz šī paplašinājuma ir vieta, kur mīt lielākā daļa neskaidrības.
OPNsense glabā šos pārrakstus servera klientam raksturīgajos iestatījumos, atslēgti ar sertifikāta kopīgo nosaukumu, kas kopīgo nosaukumu padara par adrešu plāna daļu.
Lipīga noma nav statiska adrese
Pula fails ieraksta adreses un klienta pārus un atdod tos atpakaļ, kad zināms klients atkārtoti pieslēdzas. Tas ir ērtība, nevis līgums: failu var atkārtoti ģenerēt, pāris pazūd, kad mainās klienta identitāte, un divi serveri, kas dala pulu, par to nevingrinās vienoties. Klientam raksturīgs pārraksts darbojas citādi, jo adrese nāk no konfigurācijas, nevis no vēstures. Tas arī pārdzīvo restartu un ierīces pārinstalēšanu, ja pārraksts tiek dublēts kopā ar pārējo konfigurāciju.
Dinamiskā alternatīva — VPN pievienošana DNS ar klienta savienojuma skriptu un dinamiskajiem atjauninājumiem — darbojas, un tai nepieciešams atrisinātājs, kas pieņem atjauninājumus, plus skripts pie katras savienojuma reizes. Ierīcē jūs esat ierobežots ar ražotāja piegādātajām pakotnēm, un parasti tieši tur šis plāns apstājas.
/30 aritmētika, kas nevienam nepatīk
Noklusējuma net30 topoloģijā katrs klients iegūst savu /30: pirmā izmantojamā adrese aiziet servera pusei, otrā klientam. Tāpēc pārrakstiem jāatrodas ārpus servera dinamiskā tuneļa tīkla, kas nozīmē, ka vispirms šis tīkls ir jāpaplašina. Serveris ar 10.8.0.0/24 var pāriet uz 10.8.0.0/23, atstājot pusi vecā diapazona dinamiskajiem klientiem un otru pusi pārrakstiem. Pievienojiet sākotnējo /24 kā papildu vietējo IPv4 tīklu, lai trafiks uz abām pusēm nonāktu tunelī.
Katrai pārraksta adresei jāatrodas uz /30 robežas, tāpēc pēdējais oktets ir četru daudzkārtnis. /30 uz 10.8.1.0 dod klientam 10.8.1.2, un tā ir adrese, ko nes DNS ieraksts. Ja tā vietā izvēlaties 10.8.1.3, iegūstat klientu, kas pieslēdzas un nevar laist cauri trafiku, jo adrese pieder apakštīklam, kuru topoloģija tam nekad nav piešķīrusi.
Plānu ir vieglāk uzturēt, ja pārraksti tiek piešķirti no paplašinātā diapazona augšas uz leju, lai dinamiskais pools paplašinātos brīvajā telpā, nevis ap fiksētām salām.
Vietējie tīkli un zona, ko klienti vaicā
Klientu savstarpējam trafikam vajadzīga sava atļauja. Servera vietējo IPv4 tīklu sarakstā jāiekļauj abas diapazona puses — dinamiskā un statiskā; bez tā serveris pieņem paketi no viena klienta un tam nav politikas, kas to laistu pie cita. Simptoms izskatās kā DNS kļūme, jo nosaukums tiek atrisināts, bet savienojums joprojām neizdodas. Vienlaikus pārbaudiet klientu savstarpējo iestatījumu, jo tikai vietējā tīkla ieraksts neļauj pārsūtīt starp vienaudžiem.
Publicējiet ierakstus zonā, ko attālinātie klienti patiešām vaicā. Ieraksts zonā, kuru apkalpo tikai LAN atrisinātājs, ir neredzams klientam, kura uzdotais atrisinātājs norāda citur, un vairāk ierakstu nepareizajā zonā to nekad neizlabos. Apstipriniet uzspiesto DNS opciju un meklēšanas domēnu pirms kaut ko pievienojat.
Kas jāpārbauda jaunā savienojumā
Atkārtoti pieslēdziet klientu un pirms jebkā cita testēšanas apstipriniet, ka piešķirtā adrese atbilst tā pārrakstam. Pēc tam atrisiniet nosaukumu no otra klienta un pieslēdzieties pakalpojumam pēc nosaukuma, kas kopā pārbauda DNS ierakstu, maršrutu un ugunsmūri. Apstipriniet atbildes ceļu servera pusē, jo nosaukums, kas tiek atrisināts, kamēr pakalpojums paliek nepieejams, ir maršrutēšanas vai politikas problēma, nevis nosaukumu problēma. Turiet pārrakstu tabulu blakus sertifikātu sarakstam, lai abus pārskatītu kopā.
Sertifikāts, kas atkārtoti izsniegts ar citu kopīgo nosaukumu, pārstāj atbilst savam pārrakstam un atgriež klientu dinamiskajā pulā. Ar to jārēķinās pēc jebkuras identitātes maiņas.