IP statik OpenVPN setiap klien: ifconfig-push, bukan ipp.txt

Mengedit satu baris dalam ipp.txt terasa seperti menempah alamat, tetapi ia bukan begitu. Fail itu, yang dinamakan oleh ifconfig-pool-persist, merekodkan alamat yang dimiliki nama umum kali terakhir supaya kolam boleh memulangkan yang sama apabila sesuai. Tiada apa-apa di dalamnya mengikat sambungan seterusnya kepada nombor itu.

Jalankan pemeriksaan di bawah mengikut urutan. Setiap satu sama ada mengesahkan mekanisme atau memberitahu anda berhenti dan membaiki input.

Untuk apa fail kegigihan

Fail itu wujud untuk mengekalkan alamat stabil antara permulaan semula, yang menjadikan sambungan semula lebih mesra dan log lebih mudah dibaca. Ia dibaca sebagai sejarah dan ditulis sebagai sejarah, dan laluan peruntukan kekal bebas memilih alamat lain apabila petunjuk tidak padan: kolam lain, peruntukan bercanggah atau klien yang tiba selepas kolam penuh. Itulah sebabnya suntingan manual boleh kelihatan sempurna dalam fail dan tidak mengubah apa-apa pada sambungan. Anggapnya sebagai cache keputusan lalu, bukan sumber dasar.

Jika anda memerlukan alamat tertentu untuk klien tertentu, mekanisme yang didokumenkan ialah ifconfig-push, dan ia tergolong dalam konfigurasi yang memiliki klien itu.

Pastikan klien yang betul dipilih

Peruntukan eksplisit dicari mengikut nama umum klien, jadi fail yang dinamakan untuk identiti yang salah tidak pernah dibaca. Sahkan apa yang dianggap pelayan sebagai nama klien itu, terutamanya di tempat username-as-common-name mengubahnya selepas pengesahan. Kemudian sahkan bahawa nama fail sepadan tepat dengan nilai itu, termasuk huruf besar dan kecil.

Pertimbangkan keserentakan semasa anda di sini. Jika duplicate-cn dibenarkan, beberapa peranti boleh mengemukakan identiti yang sama, dan satu alamat tetap tidak boleh unik untuk semua. Tentukan sama ada alamat tetap itu berbaloi untuk menolak sesi serentak bagi identiti tersebut, kerana kedua-dua keperluan itu tidak boleh dipenuhi serentak.

Pastikan nombor sepadan dengan topologi

Makna argumen bergantung pada topologi terowong, dan di sinilah contoh yang disalin menyebabkan kerosakan paling besar. Dalam susunan net30 yang lebih lama setiap klien menduduki blok empat alamat, jadi push memberikan sepasang alamat. Dalam topologi subnet klien menerima satu alamat serta topeng kolam, dan bentuk pasangan itu salah. Baca topologi daripada konfigurasi yang berjalan sebelum menulis baris itu.

# /etc/openvpn/ccd/partner-a   (subnet topology)
ifconfig-push 10.44.0.61 255.255.255.0

Periksa alamat terhadap segala-galanya yang mungkin memilikinya: peruntukan eksplisit lain, julat kolam dinamik dan mana-mana laluan statik yang menganggap hos tetap. Alamat yang bertindih dengan kolam akan berfungsi sehingga kolam memberikannya kepada orang lain, dan kegagalan itu akan kelihatan rawak.

Periksa hasilnya pada sambungan baharu

Sesi sedia ada mengekalkan alamat yang diberikannya, jadi satu-satunya ujian bermakna ialah sambungan baharu. Putuskan klien, sambung semula, dan baca alamat yang benar-benar diterimanya bersama laluan yang datang dengannya. Jika alamat itu masih dinamik, peruntukan tidak digunakan, dan langkah seterusnya ialah carian konfigurasi, bukan suntingan lain pada fail sejarah.

Simpan bukti bersama: nama klien, fail yang sepadan, alamat yang diperuntukkan dan kolam asalnya.

Akhir sekali, alamat terowong tetap bukan kelayakan peranti. Ia menandakan tempat dalam pelan alamat, manakala pengesahan masih bergantung pada sijil dan akaun. Mengelirukan kedua-duanya menjadikan konflik alamat sebagai andaian keselamatan yang tidak ditulis oleh sesiapa.