Server OpenVPN b’nopool: iddikjara medda tal-pool espliċita

L-għajnuna tas-server jikkonfiguraw subnet u mbagħad jimlewha b’pool dinamiku tal-għażla tagħhom. Dan in-nuqqas huwa konvenjenti sakemm xi indirizzi jridu jibqgħu barra mill-allokazzjoni — kemm jekk huma riservati għal assenjamenti fissi jew miżmuma għal segment futur. Li timblokka l-pool awtomatiku u tiddikjara l-medda waħdek jeħtieġ żewġ linji u deċiżjoni waħda konxja dwar liema indirizzi mhumiex għall-allokazzjoni. Il-bqija hija dixxiplina operattiva: inventarju, applikazzjoni, verifika, rimi lura.

Dan huwa tibdil f’servizz li qed jaħdem, għalhekk ittrattah bħala kompitu operattiv: l-ewwel inventarju, imbagħad applikazzjoni permezz taċ-ċiklu tal-ħajja normali, verifika b’klijent ġdid u rimi lura ppreparat.

Ibda mis-subnet li diġà għandek

Aqra l-konfigurazzjoni attwali tas-server u l-indirizzi li l-klijenti tassew iżommu. Il-bidla tal-pool għandha sens biss fir-rigward ta’ dik il-bażi, u l-bażi mhijiex dejjem dik li tissuġġerixxi l-fajl, għax prodott ġestit jew ġeneratur tal-konfigurazzjoni jista’ jkun is-sid tal-fajl li qed taqra.

grep -nE '^(topology|server|ifconfig-pool|max-clients|client-config-dir)' /etc/openvpn/server/lab.conf
ip -4 addr show tun0

Ikkonferma t-topoloġija fis-seħħ. Fit-topoloġija tas-subnet kull klijent jieħu indirizz wieħed mill-pool; il-qafas net30 eqdem jalloka blokka żgħira għal kull klijent u l-aritmetika hija kompletament differenti. Jekk is-server għadu fuq net30, din il-paġna hija l-gwida tal-migrazzjoni żbaljata u n-numri tal-pool mhux se jfissru dak li tistenna. Iċċekkja dik il-linja qabel ma tikkopja aritmetika tal-indirizzi minn x’imkien ieħor.

Ikteb l-indirizz tas-server stess, kull assenjament fiss fid-direttorju tal-konfigurazzjoni tal-klijenti, u kull indirizz li rotta jew regola tal-aċċess tiddependi minnu. Dawn huma l-indirizzi li għandhom jibqgħu barra mill-medda dinamika. Li tikteb dawn l-ewwel huwa dak li jagħmel il-medda deċiżjoni minflok stima. Jagħti wkoll lir-rimi lura xi ħaġa konkreta x’terġa’ lura.

Żid nopool u ddekjara l-medda

Il-kelma ewlenija tal-għajnuna taċċetta nopool, li żżomm il-konfigurazzjoni tas-subnet u timblokka l-pool dinamiku awtomatiku, kif jiddeskrivi l-manwal ta’ OpenVPN 2.6. Imbagħad il-linja espliċita ifconfig-pool tipprovdi l-medda inklużiva li beħsiebkom, u l-maskra tan-netwerk tagħha taqbel mas-subnet. Iż-żewġ linji jappartjenu lill-istess blokka tas-server, għax pool mingħajr is-subnet tiegħu m’għandux tifsira. L-ordni bejniethom hija importanti biss għall-qari, għax l-għajnuna tiftaħ il-par meta jibda s-servizz.

topology subnet
server 10.70.0.0 255.255.255.0 nopool
ifconfig-pool 10.70.0.50 10.70.0.120 255.255.255.0

Iż-żewġ limiti huma inklużivi, għalhekk l-eżempju joffri wieħed u sebgħin indirizz. Żomm l-indirizz tas-server u kull assenjament fiss barra minn dik il-firxa; assenjament fiss li jaqa’ fil-medda dinamika joħloq kolliżjoni li tiddependi mill-ordni tal-konnessjonijiet, u dak huwa l-agħar tip biex tiddibuggja. Ħalli marġni bejn is-sett riservat u l-medda jekk l-assenjamenti fissi x’aktarx jikbru.

Id-daqs tal-medda u l-konkorrenza huma limiti separati. Mija indirizz ma jfissrux mija klijent simultanju jekk max-clients jgħid mod ieħor, u pool akbar mill-limitu tal-konkorrenza huwa normali u mhux ħela. Li huwa importanti huwa li ż-żewġ limiti jintgħażlu b’mod konxju u mhux jintirtu minn nuqqas.

Żomm l-assenjamenti fissi barra mill-medda dinamika

Kien speċifiku għall-klijent ifconfig-push huwa mekkaniżmu differenti mill-allokazzjoni mill-pool, u għandu juża parametri xierqa għat-topoloġija attiva. Fil-modalità tas-subnet huwa indirizz wieħed u maskra tan-netwerk; li ġġib par net30 għax deher f’eżempju antik hija żball komuni.

L-istorja tal-allokazzjoni hija ħjiel, mhux awtorità. Fajl persist jiftakar liema klijent kellu liema indirizz, sabiex il-klijenti li jerġgħu jikkonnettjaw għandhom it-tendenza li jirċievu l-istess wieħed, u ma jirriservax indirizzi, ma jeħlishomx u ma jissostitwixxix assenjament fiss. Jekk apparat partikolari għandu dejjem iżomm indirizz partikolari, uża assenjament fiss minflok ma tiddependi fuq il-fajl persist.

Imbagħad iċċekkja l-mogħdijiet li jiddependu mill-indirizzi. Rotta mbuttata lill-klijenti, regola tal-firewall li tammetti subnet, jew verifika ta’ monitoraġġ li tistenna host partikolari jistgħu kollha jassumu l-medda l-antika. Li tbiddel il-pool mingħajr ma taqrahom iċċaqlaq il-falliment għal post li jidher mhux relatat.

Applika permezz taċ-ċiklu tal-ħajja, imbagħad ivverifika

Applika l-bidla kif is-servizz normalment jirċievi l-konfigurazzjoni — kemm jekk fajl dirett u restart, jew saff ta’ ġestjoni li jiġġenera mill-ġdid il-fajl. Modifika manwali f’fajl iġġenerat tibqa’ sal-ġenerazzjoni li jmiss, u mhux aktar. Irreġistra liema mekkaniżmu jippossjedi l-fajl, għax l-operatur li jmiss ikollu jaf fejn isir l-istess tibdil. Imbagħad erġa’ ibda darba u aqra l-log qabel ma tistieden klijent.

systemctl restart openvpn-server@lab
journalctl -u openvpn-server@lab -n 30 --no-pager
# on a fresh client
ip -4 addr show tun0

Qabbad klijent li ma kienx konness qabel u kkonferma li l-indirizz jaqa’ fil-medda ddikjarata u barra mis-sett riservat. Imbagħad ikkonferma t-triq lura: il-klijent għandu jasal għal dak li tippermetti l-politika u mhux aktar. Indirizz li jaqbel mal-pjan iżda m’għandux rotta li taħdem mhuwiex bidla ta’ suċċess.

Erġa’ qabbad klijent li kellu indirizz mill-medda l-antika. Għandu jirċievi indirizz mill-medda l-ġdida, u kwalunkwe stat fil-livell tas-sessjoni marbut mal-indirizz l-antik għandu jkun sparixxa. Jekk iżomm l-indirizz l-antik, xi ħaġa oħra qed tallokah u l-pool mhuwiex is-sid li taħseb li hu.

Ir-rimi lura ta’ bidla fil-medda

Żomm it-tliet linji preċedenti fir-rekord tat-tibdil tiegħek, mhux biss il-fajl preċedenti. Li terġa’ tistabbilixxihom u terġa’ tibda jġib l-allokazzjoni lura għall-imġiba l-antika, u l-klijenti li jerġgħu jikkonnettjaw wara jirċievu indirizzi minnha.

Żewġ twissijiet jappartjenu għar-rekord. Il-klijenti li diġà huma konnessi meta tagħmel ir-rimi lura jżommu l-indirizzi attwali tagħhom sakemm jerġgħu jikkonnettjaw, għalhekk rimi lura mhuwiex immedjat fil-flotta kollha. U jekk il-medda l-antika kienet tikkoinċidi ma’ assenjament fiss, li terġa’ tistabbilixxiha jġib lura wkoll il-kolliżjoni; dik il-koinċidenza kienet ir-raġuni tat-tibdil, u teħtieġ soluzzjoni differenti minn rimi lura.

Bidla fil-pool tintemm meta klijent ġdid jirċievi indirizz fil-medda, indirizz riservat qatt ma jingħata, u r-rotot u r-regoli li jikkunsmaw dawk l-indirizzi jkomplu jġibu ruħhom kif maħsub. Xi ħaġa inqas tħalli lill-persuna li jmiss tiskopri liema mit-tlieta mhijiex vera.