Стабилните OpenVPN адреси треба да ја следат идентитетот, а не изворниот IP
Статичната адреса е изјава за идентитетот, а не за изворниот IP. Изберете го клучот, држете ги резервациите надвор од базенот, потоа изберете го сопственикот на доделувањето.
Плановите за адреси што велат „овој преносен сметач добива 10.90.0.10“ всушност се изјави за идентитетот: кој заверен уред смее да ја држи таа адреса. Тековниот јавен IP на тој уред речиси нема врска со тоа, бидејќи NAT и роамингот го менуваат без да менуваат кој е корисникот. Градењето на планот врз изворната адреса создава правила што се кршат на првата хотелска мрежа. Градењето врз заверениот идентитет создава план што го преживува патувањето.
Започнете од она што серверот може да го провери, потоа одлучете за што е адресата.
Изберете го клучот на идентитетот пред адресата
Одделен клиентски сертификат за секој уред му дава на серверот стабилен, проверлив клуч за секој член, што е најчистата основа за статична додела. Распоредување што користи заверка по корисник може наместо тоа да се потпре на корисничкото име, сѐ додека изборот на конфигурацијата го следи истото поле. Мешањето на двата модели создава додели што одговараат на сертификат за еден клиент и на корисничко име за друг, и никој не може да предвиди кој ќе победи. Одлучете кој клуч го користи планот пред да напишете и една резервација.
Со duplicate-cn неколку истовремени сесии можат да го претстават истото заедничко име, така што една закачена адреса не може да ги идентификува поединечно. Тоа е својство на моделот на идентитет, а не нешто што подобар план за адреси може да го поправи.
Резервирајте адреси надвор од динамичкиот опсег
Во мрежа со топологија на подмрежа како 10.90.0.0/24, задржете ги ниските адреси за именувани членови и ставете го динамичкиот базен во одделен опсег. Доделувањето за закачен член изгледа вака ifconfig-push 10.90.0.10 255.255.255.0 во датотеката што серверот ја избира за тој идентитет. Вториот аргумент значи нешто друго под net30, па примерот не е неутрален во однос на топологијата. Прочитајте ја топологијата пред да го копирате.
Постојаноста на базенот ги запишува неодамнешните закупи и има тенденција да ја врати истата адреса, што е погодност, а не резервација. Не дозволувајте датотеката за постојаност да стане запис за сопственост, бидејќи таа се менува со историјата на врските, а не со политиката.
Приоритетот на доделувањето одлучува кој победува
Прирачникот документира редослед: експлицитна додела генерирана за време на client-connect може да стапи на сила пред запис во client-config-dir, кој пак претходи на вообичаената распределба од базенот. Тој редослед ги објаснува повеќето извештаи „закачената адреса не се примени“. Тоа исто така значи дека динамичен распоредувач што пишува конфигурација по сесија може тивко да презапише статична датотека што сте ја сметале за авторитативна.
Изберете еден слој што ги поседува доделите и направете ги другите само за читање. Два слоја што и двата тврдат дека одлучуваат создаваат додели зависни од времето.
Динамичкиот распоредувач бара истиот модел
Интеграцијата client-connect што дели адреси по сесија е мал распоредувач со вообичаените проблеми на распоредувач. Мора да го валидира идентитетот на барателот, атомски да резервира адреса, да издава само поддржаниот излез по врска и да ја ослободи резервацијата при исклучување или грешка. Истовремените барања бараат заклучување или ограничување на базата на податоци, а не низа читај-па-запиши. Без чистење, базенот губи адреси до рестартирање.
Држете ја состојбата на распоредувачот таму каде што следниот оператор може да ја прочита, и запишете ја одлуката идентитет-кон-адреса, а не само адресата.
Одлучете дали адресата е политика или погодност
Ако правило на огнено ѕид или рута дозволува сообраќај од една тунелска адреса, тогаш адресата учествува во политиката за пристап и прераспределбата го наследува тоа дозвола. Усогласете го животниот циклус на идентитетот, адресата и огнениот ѕид, или врзете го правилото за нешто што не може да се прераспредели. Стабилното адресирање ја прави конфигурацијата читлива; тоа не ја заменува заверката.
Напишете го планот како попис со сопственик за секој запис, потоа прегледајте го кога уредот се повлекува од употреба. Неискористената резервација е онаа што случајно се користи повторно.