Alamat OpenVPN yang stabil harus mengikut identiti, bukan IP sumber

Pelan alamat yang berkata ‘laptop ini mendapat 10.90.0.10’ sebenarnya ialah kenyataan tentang identiti: peranti yang disahkan mana yang boleh memegang alamat itu. IP awam semasa peranti itu hampir tiada kaitan, kerana NAT dan perayauan mengubahnya tanpa mengubah siapa penggunanya. Membina pelan pada alamat sumber menghasilkan peraturan yang rosak pada rangkaian hotel pertama. Membinanya pada identiti yang disahkan menghasilkan pelan yang tahan perjalanan.

Mulakan dengan apa yang pelayan boleh sahkan, kemudian tentukan untuk apa alamat itu.

Pilih kunci identiti sebelum alamat

Sijil klien berasingan bagi setiap peranti memberi pelayan kunci yang stabil dan boleh disahkan untuk setiap ahli, iaitu asas paling bersih untuk penetapan statik. Pelaksanaan yang menggunakan pengesahan setiap pengguna boleh menggunakan nama pengguna sebagai ganti, asalkan pemilihan konfigurasi mengikut medan yang sama. Mencampurkan kedua-dua model menghasilkan penetapan yang sepadan dengan sijil bagi satu klien dan nama pengguna bagi klien lain, dan tiada siapa boleh meramal mana yang menang. Tentukan kunci mana yang digunakan oleh pelan sebelum menulis satu tempahan pun.

Dengan duplicate-cn, beberapa sesi serentak boleh membentangkan nama umum yang sama, jadi satu alamat yang dipakukan tidak boleh mengenal pasti mereka secara individu. Itu sifat model identiti, bukan sesuatu yang pelan alamat lebih baik boleh baiki.

Tempah alamat di luar julat dinamik

Dalam rangkaian bertopologi subnet seperti 10.90.0.0/24, simpan alamat rendah untuk ahli bernama dan letakkan pool dinamik dalam julat berasingan. Penetapan untuk ahli yang dipakukan kelihatan seperti ini ifconfig-push 10.90.0.10 255.255.255.0 dalam fail yang dipilih pelayan untuk identiti itu. Argumen kedua bermaksud sesuatu yang berbeza di bawah net30, jadi contoh ini tidak neutral terhadap topologi. Baca topologi sebelum menyalinnya.

Kegigihan pool merekodkan pajakan terkini dan cenderung mengembalikan alamat yang sama, yang merupakan kemudahan, bukan tempahan. Jangan biarkan fail kegigihan menjadi rekod pemilikan, kerana ia berubah dengan sejarah sambungan, bukan dengan dasar.

Keutamaan penetapan menentukan siapa yang menang

Manual mendokumenkan susunan: penetapan eksplisit yang dijana semasa client-connect boleh berkuat kuasa sebelum entri client-config-dir, yang seterusnya mendahului peruntukan pool biasa. Susunan itu menjelaskan kebanyakan laporan ‘alamat yang dipakukan tidak digunakan’. Ia juga bermakna pengagih dinamik yang menulis konfigurasi setiap sesi boleh menimpa secara senyap fail statik yang anda anggap berautoriti.

Pilih satu lapisan untuk memiliki penetapan dan jadikan yang lain baca sahaja. Dua lapisan yang kedua-duanya mendakwa membuat keputusan menghasilkan penetapan yang bergantung pada masa.

Pengagih dinamik memerlukan model yang sama

Integrasi client-connect yang mengagihkan alamat setiap sesi ialah pengagih kecil dengan masalah pengagih biasa. Ia mesti mengesahkan identiti peminta, menempah alamat secara atomik, hanya mengeluarkan output setiap sambungan yang disokong, dan melepaskan tempahan pada pemutusan atau kegagalan. Permintaan serentak memerlukan kunci atau kekangan pangkalan data, bukan urutan baca-kemudian-tulis. Tanpa pembersihan, pool membocorkan alamat sehingga dimulakan semula.

Simpan keadaan pengagih di tempat pengendali seterusnya boleh membacanya, dan log keputusan identiti-ke-alamat, bukan hanya alamat.

Tentukan sama ada alamat itu dasar atau kemudahan

Jika peraturan firewall atau laluan membenarkan trafik daripada satu alamat terowong, maka alamat itu mengambil bahagian dalam dasar akses dan penetapan semula mewarisi kebenaran itu. Selaraskan kitaran hayat identiti, alamat dan firewall, atau ikat peraturan kepada sesuatu yang tidak boleh ditetapkan semula. Pengalamatan stabil menjadikan konfigurasi mudah dibaca; ia tidak menggantikan pengesahan.

Tulis pelan sebagai inventori dengan pemilik bagi setiap entri, kemudian semak semula apabila peranti ditarik keluar. Tempahan yang tidak digunakan ialah yang digunakan semula secara tidak sengaja.