ifconfig-push: peer-adresse i net30 eller nettmaske i subnet?

Det andre argumentet til ifconfig-push er ei peer-adresse i net30 og ei nettmaske under topology subnet. Samanlikn topologien som køyrer før du redigerer CCD-fila.

Dynamiske klientar koplar til og rutar fint, men den eine klienten med fast adresse kjem ikkje i det heile fram til tenaren. Ingenting i brannmuren er endra, og CCD-linja ser rimeleg ut. Den vanlege årsaka er eit andre argument som er skrive for ein annan TUN-topologi enn den tenaren køyrer. Feilen er stille: klienten kjem opp med ei adresse og tenaren godtek tilkoplinga, men ingen trafikk går over.

Under net30 er det feltet ei peer-adresse; under subnet er det ei nettmaske. Dei to formene er alternativ, aldri ein sekvens.

Dei to formene, side ved side

I ein tradisjonell net30-utplassering eig kvar klient ein /30-blokk: ei nettverksadresse, to brukbare adresser og ei kringkastingsadresse. ifconfig-push tek klientadressa og peer-adressa, og peeren er den andre brukbare adressa i same blokk, brukt av tenarsida av punkt-til-punkt-sambandet.

# net30: client address and its peer
ifconfig-push 10.99.0.6 10.99.0.5
# topology subnet: client address and the pool netmask
ifconfig-push 10.99.0.20 255.255.255.0

Under topology subnet deler klienten eitt subnett med tenaren, og same direktiv tek ei adresse og ei nettmaske. Tenaren si eiga adresse kjem frå server-direktivet, ikkje frå det andre feltet. Å blande formene gjev ein klient som trur han er på eit punkt-til-punkt-samband medan tenaren rutar han som ein subnettvert, eller omvendt. Difor må ei nettmaske aldri parast med net30.

Begge linjene i blokka er enkeltlinjer for ei CCD-fil. Éin klient får nøyaktig éi av dei.

Les topologien tenaren faktisk køyrer

Les den køyrande konfigurasjonen i staden for ein pakkestandard, fordi topologien kan ha vorte sett for fleire år sidan og kopiert vidare. Sjå etter topology subnet eller fråværet av det, og sjekk deretter korleis server-linja tildeler adresser. Ein konfigurasjon som aldri nemner topologi, er ikkje det same som ein som set subnet.

Les deretter innstillingane klienten har motteke. Adressa, maska og peeren han rapporterer, fortel deg kva tolking tenaren brukte.

Hald den faste adressa utanfor den dynamiske poolen

Ei fast adresse må liggje utanfor den dynamiske poolen, elles kan to klientar få same adresse. Med subnet-topologi undertrykkjer nopool på server-linja den automatiske poolen, og eit eksplisitt ifconfig-pool-område definerer kva dynamiske klientar får.

dev tun
topology subnet
server 10.99.0.0 255.255.255.0 nopool
ifconfig-pool 10.99.0.100 10.99.0.210 255.255.255.0
client-config-dir /etc/openvpn/ccd

Tenaren tek 10.99.0.1 sjølv, og den faste klientadressa ligg utanfor poolområdet. CCD-fila er namngjeven etter klienten sin effektive identitet, ikkje profilfilnamnet, og ho tek inga ekstra endelse. Viss username-as-common-name er aktiv, er det autentiserte brukarnamnet identiteten som skal matchast. To einingar som deler éin identitet, deler også den faste adressa, noko som er eit policyproblem og ikkje eit ruteproblem.

Verifiser tildelinga klienten faktisk fekk

Kopla den tiltenkte klienten til på nytt og stadfest kva CCD-fil som vart vald før du sjekkar noko anna. Verifiser deretter adressa, maska eller peeren, og ruta tilbake til tenaren. Ein klient som viser ei peer-adresse i ei subnet-utplassering, brukar framleis feil form.

Å endre topologi påverkar kvar klient og kvar overstyring, så handsam det som ein migrering og ikkje ein reparasjon av éin klient. Å rette den statiske linja slik at ho passar til topologien som allereie er i bruk, er vanlegvis den minste endringa. server-options-referansen dokumenterer hjelparen og dei klientspesifikke overstyringane.

Relaterte artiklar