L-indirizzi stabbli ta’ OpenVPN għandhom isegwu l-identità, mhux l-IP tas-sors

Il-pjanijiet tal-indirizzi li jgħidu «dan il-laptop jieħu 10.90.0.10» fil-fatt huma dikjarazzjonijiet dwar l-identità: liema apparat awtentikat jista’ jżomm dak l-indirizz. L-IP pubbliku attwali ta’ dak l-apparat kważi m’għandu x’jaqsam, għax NAT u roaming jibdluha mingħajr ma jibdlu min hu l-utent. Il-bini tal-pjan fuq l-indirizz tas-sors jipproduċi regoli li jinqasmu fl-ewwel netwerk tal-lukanda. Il-bini tiegħu fuq l-identità awtentikata jipproduċi pjan li jiflaħ l-ivvjaġġar.

Ibda minn dak li s-server jista’ jivverifika, imbagħad iddeċiedi għal x’inhu l-indirizz.

Agħżel iċ-ċavetta tal-identità qabel l-indirizz

Ċertifikat tal-klijent separat għal kull apparat jagħti lis-server ċavetta stabbli u verifikabbli għal kull membru, li hija l-aktar bażi nadifa għal assenjazzjoni statika. Skjerament li juża awtentikazzjoni għal kull utent jista’ minflok jistrieħ fuq l-isem tal-utent, sakemm l-għażla tal-konfigurazzjoni ssegwi l-istess qasam. It-taħlit taż-żewġ mudelli jipproduċi assenjazzjonijiet li jaqblu ma’ ċertifikat għal klijent wieħed u ma’ isem tal-utent għal ieħor, u ħadd ma jista’ jbassar liema jirbaħ. Iddeċiedi liema ċavetta juża l-pjan qabel ma tikteb riżerva waħda.

B’duplicate-cn, diversi sessjonijiet simultanji jistgħu jippreżentaw l-istess isem komuni, għalhekk indirizz wieħed ippinnjat ma jistax jidentifikahom individwalment. Din hija proprjetà tal-mudell tal-identità, mhux xi ħaġa li pjan tal-indirizzi aħjar jista’ jsewwi.

Irriżerva indirizzi barra l-firxa dinamika

F’netwerk b’topoloġija tas-subnet bħal 10.90.0.0/24, żomm l-indirizzi baxxi għall-membri msemmija u qiegħed il-pool dinamiku f’firxa separata. Assenjazzjoni għal membru pproprju tidher hekk ifconfig-push 10.90.0.10 255.255.255.0 fil-fajl li s-server jagħżel għal dik l-identità. It-tieni argument ifisser xi ħaġa differenti taħt net30, għalhekk l-eżempju mhuwiex newtrali għat-topoloġija. Aqra t-topoloġija qabel ma tikkupjah.

Il-persistenza tal-pool tirrekordja l-kirjiet reċenti u għandha t-tendenza li tirritorna l-istess indirizz, li hija kumdità mhux riżerva. Tħallix il-fajl tal-persistenza jsir ir-rekord tas-sjieda, għax jinbidel mal-istorja tal-konnessjonijiet mhux mal-politika.

Il-preċedenza tal-assenjazzjoni tiddeċiedi min jirbaħ

Il-manwal jiddokumenta ordni: assenjazzjoni espliċita ġġenerata waqt client-connect tista’ tidħol fis-seħħ qabel entrata ta’ client-config-dir, li min-naħa tagħha tiġi qabel l-allokazzjoni ordinarja tal-pool. Dan l-ordni jispjega ħafna mir-rapporti «l-indirizz ippinnjat ma ġiex applikat». Ifisser ukoll li allokatur dinamiku li jikteb konfigurazzjoni għal kull sessjoni jista’ jaqbeż bil-kwiet fajl statiku li ħsibt li kien awtorevoli.

Agħżel saff wieħed li jippossjedi l-assenjazzjonijiet u agħmel l-oħrajn biex jinqraw biss. Żewġ saffi li t-tnejn jiddikjaraw li jiddeċiedu jipproduċu assenjazzjonijiet li jiddependu mill-ħin.

Allokatur dinamiku għandu bżonn l-istess mudell

Integrazzjoni client-connect li tqassam indirizzi għal kull sessjoni hija allokatur żgħir bil-problemi tas-soltu tal-allokatur. Trid tivvalida l-identità li titlob, tirriżerva indirizz b’mod atomiku, toħroġ biss il-ħruġ għal kull konnessjoni appoġġjat, u tħoll ir-riżerva ma’ skonnessjoni jew falliment. Talbiet konkorrenti jeħtieġu lock jew restrizzjoni tal-bażi tad-data, mhux sekwenza aqra-imbagħad-ikteb. Mingħajr tindif, il-pool jitlef indirizzi sa restart.

Żomm l-istat tal-allokatur fejn l-operatur li jmiss jista’ jaqrah, u rreġistra d-deċiżjoni identità-għal-indirizz mhux biss l-indirizz.

Iddeċiedi jekk l-indirizz huwiex politika jew kumdità

Jekk regola tal-firewall jew rotta tippermetti traffiku minn indirizz wieħed tat-tunnel, allura l-indirizz jipparteċipa fil-politika tal-aċċess u riassenjazzjoni tiret dak il-permess. Ikkordina ċ-ċiklu tal-ħajja tal-identità, l-indirizz u l-firewall, jew rabat ir-regola ma’ xi ħaġa li ma tistax tiġi riassenjata. Indirizzar stabbli jagħmel il-konfigurazzjoni tinqara; ma jissostitwix l-awtentikazzjoni.

Ikteb il-pjan bħala inventarju b’sid għal kull entrata, imbagħad erġa’ rrevedih meta apparat jirtira. Ir-riżerva mhux użata hija dik li tiġi użata mill-ġdid b’inċident.