OPNsense-ийн ард байгаа OpenVPN клиентийн статик хаягууд
pool файл хаягийг наалдамхай болгодог, байнгын биш. Клиентийн хаягуудыг override-оор тогтоож, /30-ийн тооцоололд зориулж туннелийн хүрээг өргөтгөж, дараа нь нийтэл.
Нэрсэд хөдлөхгүй хаяг хэрэгтэй, харин OpenVPN-ийн pool файл хаягийг зөвхөн наалдамхай болгодог. Тэр файлыг алдвал, эсвэл сертификатыг өөр нийтлэг нэрээр дахин гаргавал, буцаж ирсэн клиент pool дотор өөр газар буух бөгөөд түүний DNS бичлэг хуучин хаяг руугаа заасан хэвээр байна. Бат бөх хариулт бол хаягийг тогтоодог клиентэд тусгайлсан override, нэмээд тогтоосон хаягууд динамик хүрээнээс гадна байхын тулд илүү өргөн туннелийн сүлжээ юм. Тухайн өргөтгөлийн ард байгаа тооцоолол бол эргэлзээний ихэнх нь амьдардаг газар.
OPNsense эдгээр override-уудыг серверийн клиентэд тусгайлсан тохиргоонд хадгалж, сертификатын нийтлэг нэрээр түлхүүрлэдэг нь нийтлэг нэрийг хаягийн төлөвлөгөөний нэг хэсэг болгодог.
Наалдамхай түрээс нь статик хаяг биш
pool файл хаяг-клиентийн буулгалтыг бичиж, танигдсан клиент дахин холбогдоход тэдгээрийг буцааж өгдөг. Энэ нь гэрээ биш, тав тух юм: файлыг дахин үүсгэж болно, клиентийн хувийн байдал өөрчлөгдөхөд буулгалт алга болдог, нэг pool хуваалцдаг хоёр сервер үүн дээр санал нийлэхгүй. Клиентэд тусгайлсан override өөрөөр ажилладаг, учир нь хаяг нь түүхээс биш, тохиргооноос ирдэг. Мөн төхөөрөмжийг дахин ачаалах, дахин суулгахад тэсвэрлэдэг, хэрэв override нь бусад тохиргоотой хамт нөөцлөгдсөн бол.
Динамик хувилбар, өөрөөр хэлбэл VPN-ийг client-connect скрипт болон динамик шинэчлэлтээр DNS-тэй холбох нь ажилладаг бөгөөд шинэчлэлтийг хүлээн авдаг resolver, нэмээд холбогдох бүрт скрипт шаарддаг. Төхөөрөмж дээр та нийлүүлэгчийн өгдөг багцуудаар хязгаарлагдана, ихэвчлэн яг тэнд тэр төлөвлөгөө зогсдог.
Хэнд ч таалагддаггүй /30-ийн тооцоолол
Анхдагч net30 топологид клиент бүр өөрийн /30-ыг авдаг: эхний ашиглах боломжтой хаяг серверийн тал руу, хоёр дахь нь клиент рүү явна. Тиймээс override-ууд серверийн динамик туннелийн сүлжээнээс гадна байх ёстой, энэ нь эхлээд тэр сүлжээг өргөтгөх гэсэн үг. 10.8.0.0/24 дээрх сервер 10.8.0.0/23 руу шилжиж, хуучин хүрээний талыг динамик клиентүүдэд, нөгөө талыг override-уудад үлдээж болно. Анхны /24-ийг нэмэлт IPv4 локал сүлжээ болгон нэмж, хоёр тал руугаа хөдөлгөөн туннель руу чиглэгдэх болно.
Override хаяг бүр /30-ийн хил дээр буух ёстой, тиймээс сүүлийн октет дөрвийн үржвэр байна. 10.8.1.0 дээрх /30 нь клиентэд 10.8.1.2 өгдөг бөгөөд DNS бичлэгт байгаа хаяг нь яг тэр юм. Оронд нь 10.8.1.3-ыг сонговол холбогддог ч хөдөлгөөн дамжуулж чадахгүй клиент үүснэ, учир нь хаяг нь топологи түүнд хэзээ ч өгөөгүй дэд сүлжээнд хамаардаг.
Өргөтгөсөн хүрээний дээд хэсгээс доош override-уудыг хуваарилбал төлөвлөгөөг барихад хялбар, ингэснээр динамик pool тогтмол арлуудын эргэн тойронд биш, чөлөөт орон зай руу тэлнэ.
Локал сүлжээ болон клиентүүдийн асуудаг бүс
Клиентээс клиент рүү хөдөлгөөнд өөрийн зөвшөөрөл хэрэгтэй. Серверийн IPv4 локал сүлжээний жагсаалтад хүрээний хоёр тал, динамик ба статик хоёулаа багтах ёстой; үүнгүйгээр сервер нэг клиентээс пакет хүлээн авч, нөгөө рүү дамжуулахыг зөвшөөрсөн бодлогогүй байна. Шинж тэмдэг нь DNS-ийн доголдол мэт харагдана, учир нь нэр шийдэгдэж байхад холболт бүтэлгүйтсээр байна. Мөн зэрэг клиентээс клиент рүү тохиргоог шалгаарай, учир нь зөвхөн локал сүлжээний бичлэг тэгш эрхтнүүдийн хооронд дамжуулалтыг идэвхжүүлэхгүй.
Бичлэгүүдийг алсын клиентүүд бодитоор асуудаг бүсэд нийтэл. Зөвхөн LAN resolver үйлчилдэг бүсийн бичлэг нь түлхэгдсэн resolver өөр газар заасан клиентэд үл үзэгдэх бөгөөд буруу бүсэд илүү олон бичлэг нэмэх нь үүнийг хэзээ ч засахгүй. Ямар нэгэн зүйл нэмэхийн өмнө түлхэгдсэн DNS сонголт болон хайлтын домэйныг баталгаажуул.
Шинэ холболт дээр юу шалгах вэ
Клиентийг дахин холбож, өөр юу ч туршихаас өмнө олгогдсон хаяг түүний override-той таарч байгааг баталгаажуул. Дараа нь хоёр дахь клиентээс нэрийг шийдэж, нэрээр нь үйлчилгээнд холбогд, энэ нь DNS бичлэг, маршрут, галт ханыг хамт туршдаг. Серверийн талд хариу замыг баталгаажуул, учир нь нэр шийдэгдэж байхад үйлчилгээ хүрэхгүй хэвээр байвал энэ нь нэрлэлтийн бус, маршрутлалт эсвэл бодлогын асуудал. override хүснэгтийг сертификатын жагсаалтын дэргэд байлга, хоёуланг нь хамт хянахын тулд.
Өөр нийтлэг нэрээр дахин гаргасан сертификат өөрийн override-той таарахаа болиод клиентийг динамик pool руу буцаана. Аливаа хувийн байдлын өөрчлөлтийн дараа үүнийг хүлээ.