Indirizzi tal-klijent OpenVPN statiċi wara OPNsense

L-ismijiet jeħtieġu indirizzi li ma jiċċaqalqux, u l-fajl tal-pool ta’ OpenVPN biss jagħmel indirizz waħlieni. Tlift dak il-fajl, jew erġa ħareġ ċertifikat taħt isem komuni differenti, u l-klijent li jerġa’ lura jinżel xi mkien ieħor fil-pool waqt li r-rekord DNS tiegħu għadu jipponta lejn l-indirizz il-qadim. It-tweġiba dejjiema hija sostituzzjoni speċifika għall-klijent li tiffissa l-indirizz, flimkien ma’ netwerk tat-tunnel usa’ sabiex l-indirizzi ffissati jkunu barra mill-firxa dinamika. L-aritmetika wara dak it-tkabbir hija fejn tgħix il-biċċa l-kbira tal-konfużjoni.

OPNsense iżżomm dawk is-sostituzzjonijiet fis-settings speċifiċi għall-klijent tas-server, imċavetta bl-isem komuni taċ-ċertifikat, li jagħmel l-isem komuni parti mill-pjan tal-indirizzi.

Kirja waħlienija mhix indirizz statiku

Il-fajl tal-pool jikteb mapep ta’ indirizz għal klijent u jroddhom lura meta klijent magħruf jerġa’ jgħaqqad. Dan huwa kumdità, mhux kuntratt: il-fajl jista’ jerġa’ jiġi ġġenerat, il-mappa tispiċċa meta tinbidel l-identità tal-klijent, u żewġ servers li jaqsmu pool ma jaqblux dwarha. Sostituzzjoni speċifika għall-klijent taħdem mod ieħor, għax l-indirizz ġej mill-konfigurazzjoni u mhux mill-istorja. Hija tgħix ukoll minn restart u installazzjoni mill-ġdid tal-apparat, sakemm is-sostituzzjoni tiġi salvata mal-bqija tal-konfigurazzjoni.

L-alternattiva dinamika, jiġifieri li l-VPN tiġi mqabbda mad-DNS b’script tal-konnessjoni tal-klijent u aġġornamenti dinamiċi, taħdem u teħtieġ resolver li jaċċetta aġġornamenti flimkien ma’ script fuq kull konnessjoni. Fuq apparat inti limitat għall-pakketti li jbagħat il-bejjiegħ, u normalment hemmhekk jieqaf dak il-pjan.

L-aritmetika /30 li ħadd ma jgawdi

Taħt it-topoloġija net30 default, kull klijent jieħu l-/30 tiegħu: l-ewwel indirizz użabbli jmur lejn in-naħa tas-server, it-tieni lejn il-klijent. Għalhekk is-sostituzzjonijiet iridu jkunu barra min-netwerk tat-tunnel dinamiku tas-server, li jfisser li dak in-netwerk irid jiġi mwessa’ l-ewwel. Server fuq 10.8.0.0/24 jista’ jiċċaqlaq għal 10.8.0.0/23, filwaqt li jħalli nofs il-firxa l-qadima għall-klijenti dinamiċi u n-nofs l-ieħor għas-sostituzzjonijiet. Żid il-/24 oriġinali bħala netwerk lokali IPv4 addizzjonali sabiex it-traffiku lejn iż-żewġ nofsijiet jidħol fit-tunnel.

Kull indirizz ta’ sostituzzjoni irid jaqa’ fuq fruntiera /30, għalhekk l-aħħar ottett huwa multiplu ta’ erbgħa. /30 fuq 10.8.1.0 jagħti lill-klijent 10.8.1.2, u dak huwa l-indirizz li jġorr ir-rekord DNS. Jekk minflok tagħżel 10.8.1.3, tikseb klijent li jgħaqqad u ma jistax jgħaddi traffiku, għax l-indirizz jappartjeni għal subnetwork li t-topoloġija qatt ma assenjatlu.

Il-pjan huwa aktar faċli biex jinżamm jekk is-sostituzzjonijiet jiġu allokati minn fuq il-firxa mwessa’ ’l isfel, sabiex il-pool dinamiku jespandi fl-ispazju ħieles minflok madwar gżejjer fissi.

Netwerks lokali u ż-żona li jistaqsu l-klijenti

It-traffiku bejn klijent u ieħor jeħtieġ permess tiegħu. Il-lista tan-netwerks lokali IPv4 tas-server trid tinkludi ż-żewġ nofsijiet tal-firxa, dinamika u statika; mingħajrha s-server jaċċetta pakkett minn klijent wieħed u m’għandux politika li tħallih jgħaddi għal ieħor. Is-sintomu jinqara bħala falliment tad-DNS, għax l-isem jiġi riżolt u l-konnessjoni xorta tfalli. Iċċekkja fl-istess ħin is-setting bejn klijent u ieħor, għax entrata ta’ netwerk lokali waħedha ma tippermettix passaġġ bejn il-pari.

Ippubblika r-rekords fiż-żona li l-klijenti mbiegħda tassew jistaqsu. Rekord fiż-żona moqdija biss mir-resolver tal-LAN huwa inviżibbli għal klijent li r-resolver imbuttat tiegħu jipponta xi mkien ieħor, u ż-żieda ta’ aktar rekords fiż-żona żbaljata qatt ma ssewwiha. Ikkonferma l-għażla tad-DNS imbuttata u d-dominju tat-tiftix qabel iżżid xi ħaġa.

X’għandek tiċċekkja fuq konnessjoni ġdida

Erġa’ qabbad il-klijent u kkonferma li l-indirizz assenjat jaqbel mas-sostituzzjoni tiegħu qabel ma tittestja xi ħaġa oħra. Imbagħad irriżolvi l-isem minn klijent ieħor u qabbad mas-servizz bl-isem, li jittestja r-rekord DNS, ir-rotta u l-firewall flimkien. Ikkonferma l-passaġġ tar-risposta fuq in-naħa tas-server, għax isem li jiġi riżolt waqt li s-servizz jibqa’ ma jintlaħaqx hija problema ta’ routing jew ta’ politika, mhux ta’ semmija. Żomm it-tabella tas-sostituzzjonijiet maġenb il-lista taċ-ċertifikati sabiex it-tnejn jiġu riveduti flimkien.

Ċertifikat maħruġ mill-ġdid taħt isem komuni differenti jieqaf jaqbel mas-sostituzzjoni tiegħu u jġib il-klijent lura fil-pool dinamiku. Stennew dan wara kull bidla fl-identità.