Statiske OpenVPN-klientadresser bak OPNsense

Navn trenger adresser som ikke flytter seg, og poolfilen til OpenVPN gjør bare en adresse klebrig. Mister du den filen, eller utsteder et sertifikat på nytt under et annet vanlig navn, havner den tilbakevendende klienten et annet sted i poolen mens DNS-oppføringen fortsatt peker på den gamle adressen. Det varige svaret er en klientspesifikk overstyring som fester adressen, pluss et bredere tunnelnettverk slik at festede adresser ligger utenfor det dynamiske området. Aritmetikken bak den utvidelsen er der mesteparten av forvirringen bor.

OPNsense holder disse overstyringene i serverens klientspesifikke innstillinger, nøklet på sertifikatets vanlige navn, noe som gjør det vanlige navnet til en del av adresseplanen.

En klebrig lease er ikke en statisk adresse

Poolfilen skriver adresse-til-klient-tilknytninger og gir dem tilbake når en kjent klient kobler til igjen. Det er bekvemmelighet, ikke en kontrakt: filen kan genereres på nytt, tilknytningen forsvinner når klientens identitet endres, og to servere som deler en pool blir ikke enige om den. En klientspesifikk overstyring virker annerledes, fordi adressen kommer fra konfigurasjonen i stedet for fra historikken. Den overlever også en omstart og en reinstallasjon av apparatet, forutsatt at overstyringen sikkerhetskopieres sammen med resten av konfigurasjonen.

Det dynamiske alternativet, å koble VPN-en til DNS med et klienttilkoblingsskript og dynamiske oppdateringer, virker og krever en resolver som godtar oppdateringer, pluss et skript ved hver tilkobling. På et apparat er du begrenset til pakkene leverandøren sender, og det er vanligvis der den planen stopper.

/30-aritmetikken ingen liker

Under standardtopologien net30 får hver klient sin egen /30: den første brukbare adressen går til serversiden, den andre til klienten. Overstyringer må derfor ligge utenfor serverens dynamiske tunnelnettverk, noe som betyr at nettverket først må utvides. En server på 10.8.0.0/24 kan flyttes til 10.8.0.0/23 og la halvparten av det gamle området være for dynamiske klienter og den andre halvparten for overstyringer. Legg til den opprinnelige /24 som et ekstra lokalt IPv4-nettverk slik at trafikk til begge halvdeler går inn i tunnelen.

Hver overstyringsadresse må lande på en /30-grense, så den siste oktetten er et multiplum av fire. En /30 på 10.8.1.0 gir klienten 10.8.1.2, og det er adressen DNS-oppføringen bærer. Velger du i stedet 10.8.1.3, får du en klient som kobler til og ikke kan slippe gjennom trafikk, fordi adressen tilhører et subnett topologien aldri tildelte den.

Planen er lettere å holde hvis overstyringer tildeles fra toppen av det utvidede området og nedover, slik at den dynamiske poolen utvider seg i ledig plass i stedet for rundt faste øyer.

Lokale nettverk og sonen klientene spør

Klient-til-klient-trafikk trenger sin egen tillatelse. Serverens liste over lokale IPv4-nettverk må inneholde begge halvdeler av området, dynamisk og statisk; uten den godtar serveren en pakke fra én klient og har ingen policy som slipper den gjennom til en annen. Symptomet leses som en DNS-feil, fordi navnet slår opp og tilkoblingen likevel feiler. Sjekk klient-til-klient-innstillingen samtidig, siden en oppføring for lokalt nettverk alene ikke aktiverer videresending mellom likemenn.

Publiser oppføringene i sonen eksterne klienter faktisk spør. En oppføring i en sone som bare betjenes av LAN-resolveren, er usynlig for en klient hvis pushede resolver peker et annet sted, og flere oppføringer i feil sone reparerer det aldri. Bekreft det pushede DNS-alternativet og søkedomenet før du legger til noe.

Hva du bør sjekke på en ny tilkobling

Koble klienten til på nytt og bekreft at den tildelte adressen samsvarer med overstyringen før du tester noe annet. Slå deretter opp navnet fra en annen klient og koble til tjenesten ved navn, noe som prøver DNS-oppføringen, ruten og brannmuren sammen. Bekreft svarveien på serversiden, siden et navn som slår opp mens tjenesten forblir utilgjengelig, er et rute- eller policyproblem og ikke et navneproblem. Hold overstyringstabellen ved siden av sertifikatlisten slik at begge gjennomgås sammen.

Et sertifikat som utstedes på nytt under et annet vanlig navn, slutter å samsvare med overstyringen sin og sender klienten tilbake til den dynamiske poolen. Forvent det etter enhver identitetsendring.