Alamat klien OpenVPN statik di belakang OPNsense

Nama memerlukan alamat yang tidak bergerak, dan fail kolam OpenVPN hanya menjadikan alamat melekit. Hilangkan fail itu, atau terbitkan semula sijil di bawah nama umum yang berbeza, dan klien yang kembali mendarat di tempat lain dalam kolam sementara rekod DNS-nya masih menunjuk ke alamat lama. Jawapan yang tahan lama ialah tindihan khusus klien yang menyematkan alamat, serta rangkaian terowong yang lebih luas supaya alamat tersemat berada di luar julat dinamik. Aritmetik di sebalik peluasan itu ialah tempat kebanyakan kekeliruan tinggal.

OPNsense menyimpan tindihan itu dalam tetapan khusus klien pelayan, dikunci dengan nama umum sijil, yang menjadikan nama umum sebahagian daripada pelan alamat.

Pajakan melekit bukan alamat statik

Fail kolam menulis pemetaan alamat ke klien dan mengembalikannya apabila klien yang dikenali bersambung semula. Itu kemudahan, bukan kontrak: fail boleh dijana semula, pemetaan hilang apabila identiti klien berubah, dan dua pelayan yang berkongsi kolam tidak akan bersetuju tentangnya. Tindihan khusus klien berfungsi secara berbeza, kerana alamat datang daripada konfigurasi dan bukan daripada sejarah. Ia juga bertahan selepas mula semula dan pemasangan semula perkakas, asalkan tindihan disandarkan bersama konfigurasi yang lain.

Alternatif dinamik, iaitu menyambungkan VPN ke DNS dengan skrip sambungan klien dan kemas kini dinamik, berfungsi dan memerlukan penyelesai yang menerima kemas kini serta skrip pada setiap sambungan. Pada perkakas anda terhad kepada pakej yang dihantar vendor, dan biasanya di situlah pelan itu berhenti.

Aritmetik /30 yang tiada siapa gemar

Di bawah topologi net30 lalai, setiap klien mendapat /30 sendiri: alamat pertama yang boleh digunakan pergi ke sebelah pelayan, yang kedua kepada klien. Oleh itu tindihan mesti berada di luar rangkaian terowong dinamik pelayan, yang bermaksud rangkaian itu perlu diluaskan dahulu. Pelayan pada 10.8.0.0/24 boleh berpindah ke 10.8.0.0/23, meninggalkan separuh julat lama untuk klien dinamik dan separuh lagi untuk tindihan. Tambah /24 asal sebagai rangkaian tempatan IPv4 tambahan supaya trafik ke kedua-dua bahagian masuk ke terowong.

Setiap alamat tindihan mesti jatuh pada sempadan /30, jadi oktet terakhir ialah gandaan empat. /30 pada 10.8.1.0 memberi klien 10.8.1.2, dan itulah alamat yang dibawa rekod DNS. Memilih 10.8.1.3 sebaliknya menghasilkan klien yang bersambung dan tidak dapat melepaskan trafik, kerana alamat itu milik subrangkaian yang tidak pernah diberikan oleh topologi kepadanya.

Pelan lebih mudah dikekalkan jika tindihan diperuntukkan dari atas julat yang diluaskan ke bawah, supaya kolam dinamik berkembang ke ruang kosong dan bukan mengelilingi pulau tetap.

Rangkaian tempatan dan zon yang ditanya klien

Trafik klien ke klien memerlukan kebenarannya sendiri. Senarai rangkaian tempatan IPv4 pelayan mesti merangkumi kedua-dua bahagian julat, dinamik dan statik; tanpanya pelayan menerima paket daripada satu klien dan tidak mempunyai dasar yang membenarkannya lewat kepada klien lain. Gejalanya terbaca seperti kegagalan DNS, kerana nama diselesaikan dan sambungan masih gagal. Periksa tetapan klien ke klien pada masa yang sama, kerana entri rangkaian tempatan sahaja tidak membolehkan pemajuan antara rakan sebaya.

Terbitkan rekod dalam zon yang benar-benar ditanya klien jauh. Rekod dalam zon yang hanya dilayan oleh penyelesai LAN tidak kelihatan kepada klien yang penyelesai terdorongnya menunjuk ke tempat lain, dan menambah lebih banyak rekod ke zon yang salah tidak akan pernah membaikinya. Sahkan pilihan DNS terdorong dan domain carian sebelum menambah apa-apa.

Apa yang perlu diperiksa pada sambungan baharu

Sambungkan semula klien dan sahkan alamat yang diberikan sepadan dengan tindihannya sebelum menguji apa-apa lagi. Kemudian selesaikan nama dari klien kedua dan sambung ke perkhidmatan mengikut nama, yang menguji rekod DNS, laluan dan firewall sekali gus. Sahkan laluan balasan di sebelah pelayan, kerana nama yang diselesaikan sementara perkhidmatan kekal tidak dapat dicapai ialah masalah penghalaan atau dasar, bukan penamaan. Simpan jadual tindihan di sebelah senarai sijil supaya kedua-duanya disemak bersama.

Sijil yang diterbitkan semula di bawah nama umum yang berbeza berhenti sepadan dengan tindihannya dan mengembalikan klien ke kolam dinamik. Jangkakan itu selepas sebarang perubahan identiti.