ifconfig-push: peer-adresse i net30 eller nettmaske i subnet?

Dynamiske klienter kobler til og ruter fint, men den ene klienten med fast adresse kommer ikke i det hele tatt frem til serveren. Ingenting i brannmuren er endret, og CCD-linjen ser rimelig ut. Den vanlige årsaken er et andre argument som er skrevet for en annen TUN-topologi enn den serveren kjører. Feilen er stille: klienten kommer opp med en adresse og serveren godtar tilkoblingen, men ingen trafikk går over.

Under net30 er det feltet en peer-adresse; under subnet er det en nettmaske. De to formene er alternativer, aldri en sekvens.

De to formene, side ved side

I en tradisjonell net30-utplassering eier hver klient en /30-blokk: en nettverksadresse, to brukbare adresser og en kringkastingsadresse. ifconfig-push tar klientadressen og peer-adressen, og peeren er den andre brukbare adressen i samme blokk, brukt av serversiden av punkt-til-punkt-forbindelsen.

# net30: client address and its peer
ifconfig-push 10.99.0.6 10.99.0.5
# topology subnet: client address and the pool netmask
ifconfig-push 10.99.0.20 255.255.255.0

Under topology subnet deler klienten ett subnett med serveren, og samme direktiv tar en adresse og en nettmaske. Serverens egen adresse kommer fra server-direktivet, ikke fra det andre feltet. Å blande formene gir en klient som tror den er på en punkt-til-punkt-forbindelse mens serveren ruter den som en subnettvert, eller omvendt. Derfor må en nettmaske aldri pares med net30.

Begge linjene i blokken er enkeltlinjer for en CCD-fil. Én klient får nøyaktig én av dem.

Les topologien serveren faktisk kjører

Les den kjørende konfigurasjonen i stedet for en pakkestandard, fordi topologien kan ha blitt satt for flere år siden og kopiert videre. Se etter topology subnet eller fraværet av det, og sjekk deretter hvordan server-linjen tildeler adresser. En konfigurasjon som aldri nevner topologi, er ikke det samme som en som setter subnet.

Les deretter innstillingene klienten har mottatt. Adressen, masken og peeren den rapporterer, forteller deg hvilken tolkning serveren brukte.

Hold den faste adressen utenfor den dynamiske poolen

En fast adresse må ligge utenfor den dynamiske poolen, ellers kan to klienter få samme adresse. Med subnet-topologi undertrykker nopool på server-linjen den automatiske poolen, og et eksplisitt ifconfig-pool-område definerer hva dynamiske klienter får.

dev tun
topology subnet
server 10.99.0.0 255.255.255.0 nopool
ifconfig-pool 10.99.0.100 10.99.0.210 255.255.255.0
client-config-dir /etc/openvpn/ccd

Serveren tar 10.99.0.1 selv, og den faste klientadressen ligger utenfor poolområdet. CCD-filen er navngitt etter klientens effektive identitet, ikke profilfilnavnet, og den tar ingen ekstra endelse. Hvis username-as-common-name er aktiv, er det autentiserte brukernavnet identiteten som skal matches. To enheter som deler én identitet, deler også den faste adressen, noe som er et policyproblem og ikke et ruteproblem.

Verifiser tildelingen klienten faktisk fikk

Koble den tiltenkte klienten til på nytt og bekreft hvilken CCD-fil som ble valgt før du sjekker noe annet. Verifiser deretter adressen, masken eller peeren, og ruten tilbake til serveren. En klient som viser en peer-adresse i en subnet-utplassering, bruker fortsatt feil form.

Å endre topologi påvirker hver klient og hver overstyring, så behandle det som en migrering og ikke en reparasjon av én klient. Å rette den statiske linjen slik at den passer til topologien som allerede brukes, er vanligvis den minste endringen. server-options-referansen dokumenterer hjelperen og de klientspesifikke overstyringene.