OPNsense ਪਿੱਛੇ OpenVPN ਕਲਾਇੰਟਾਂ ਦੇ ਸਥਿਰ ਪਤੇ

ਨਾਵਾਂ ਨੂੰ ਅਜਿਹੇ ਪਤੇ ਚਾਹੀਦੇ ਹਨ ਜੋ ਹਿਲਦੇ ਨਹੀਂ, ਅਤੇ OpenVPN ਦੀ pool ਫਾਈਲ ਪਤੇ ਨੂੰ ਸਿਰਫ਼ ਚਿਪਕਦਾ ਬਣਾਉਂਦੀ ਹੈ। ਉਹ ਫਾਈਲ ਗੁਆ ਦਿਓ, ਜਾਂ ਕਿਸੇ ਹੋਰ ਆਮ ਨਾਮ ਹੇਠ ਸਰਟੀਫਿਕੇਟ ਦੁਬਾਰਾ ਜਾਰੀ ਕਰੋ, ਤਾਂ ਵਾਪਸ ਆਉਣ ਵਾਲਾ ਕਲਾਇੰਟ pool ਵਿੱਚ ਕਿਤੇ ਹੋਰ ਉਤਰਦਾ ਹੈ, ਜਦਕਿ ਉਸਦਾ DNS ਰਿਕਾਰਡ ਅਜੇ ਵੀ ਪੁਰਾਣੇ ਪਤੇ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। ਟਿਕਾਊ ਜਵਾਬ ਕਲਾਇੰਟ-ਵਿਸ਼ੇਸ਼ ਓਵਰਰਾਈਡ ਹੈ ਜੋ ਪਤੇ ਨੂੰ ਪਿੰਨ ਕਰਦਾ ਹੈ, ਨਾਲ ਹੀ ਚੌੜਾ ਟਨਲ ਨੈੱਟਵਰਕ ਤਾਂ ਜੋ ਪਿੰਨ ਕੀਤੇ ਪਤੇ ਗਤੀਸ਼ੀਲ ਸੀਮਾ ਤੋਂ ਬਾਹਰ ਰਹਿਣ। ਉਸ ਚੌੜਾਈ ਪਿੱਛੇ ਦਾ ਗਣਿਤ ਹੀ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਬਹੁਤੀ ਉਲਝਣ ਰਹਿੰਦੀ ਹੈ।

OPNsense ਇਹ ਓਵਰਰਾਈਡ ਸਰਵਰ ਦੀਆਂ ਕਲਾਇੰਟ-ਵਿਸ਼ੇਸ਼ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਰੱਖਦਾ ਹੈ, ਸਰਟੀਫਿਕੇਟ ਦੇ ਆਮ ਨਾਮ ਨਾਲ ਕੁੰਜੀਬੱਧ, ਜਿਸ ਨਾਲ ਆਮ ਨਾਮ ਪਤਾ ਯੋਜਨਾ ਦਾ ਹਿੱਸਾ ਬਣ ਜਾਂਦਾ ਹੈ।

ਚਿਪਕਦਾ ਲੀਜ਼ ਸਥਿਰ ਪਤਾ ਨਹੀਂ ਹੈ

pool ਫਾਈਲ ਪਤਾ-ਤੋਂ-ਕਲਾਇੰਟ ਮੈਪਿੰਗ ਲਿਖਦੀ ਹੈ ਅਤੇ ਜਾਣੇ-ਪਛਾਣੇ ਕਲਾਇੰਟ ਦੇ ਦੁਬਾਰਾ ਜੁੜਨ 'ਤੇ ਉਹ ਵਾਪਸ ਦਿੰਦੀ ਹੈ। ਇਹ ਸੁਵਿਧਾ ਹੈ, ਸਮਝੌਤਾ ਨਹੀਂ: ਫਾਈਲ ਦੁਬਾਰਾ ਬਣਾਈ ਜਾ ਸਕਦੀ ਹੈ, ਕਲਾਇੰਟ ਦੀ ਪਛਾਣ ਬਦਲਣ 'ਤੇ ਮੈਪਿੰਗ ਗਾਇਬ ਹੋ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਇੱਕੋ pool ਸਾਂਝਾ ਕਰਨ ਵਾਲੇ ਦੋ ਸਰਵਰ ਇਸ 'ਤੇ ਸਹਿਮਤ ਨਹੀਂ ਹੋਣਗੇ। ਕਲਾਇੰਟ-ਵਿਸ਼ੇਸ਼ ਓਵਰਰਾਈਡ ਵੱਖਰੇ ਤਰੀਕੇ ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਪਤਾ ਇਤਿਹਾਸ ਤੋਂ ਨਹੀਂ, ਸੰਰਚਨਾ ਤੋਂ ਆਉਂਦਾ ਹੈ। ਇਹ ਯੰਤਰ ਦੇ ਰੀਸਟਾਰਟ ਅਤੇ ਮੁੜ-ਸਥਾਪਨਾ ਨੂੰ ਵੀ ਝੱਲਦਾ ਹੈ, ਬਸ਼ਰਤੇ ਓਵਰਰਾਈਡ ਬਾਕੀ ਸੰਰਚਨਾ ਨਾਲ ਬੈਕਅਪ ਕੀਤਾ ਗਿਆ ਹੋਵੇ।

ਗਤੀਸ਼ੀਲ ਵਿਕਲਪ, ਭਾਵ client-connect ਸਕ੍ਰਿਪਟ ਅਤੇ ਗਤੀਸ਼ੀਲ ਅੱਪਡੇਟ ਰਾਹੀਂ VPN ਨੂੰ DNS ਨਾਲ ਜੋੜਨਾ, ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਅੱਪਡੇਟ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲਾ resolver, ਨਾਲ ਹੀ ਹਰ ਕਨੈਕਸ਼ਨ 'ਤੇ ਸਕ੍ਰਿਪਟ ਚਾਹੀਦਾ ਹੈ। ਯੰਤਰ 'ਤੇ ਤੁਸੀਂ ਵਿਕਰੇਤਾ ਵੱਲੋਂ ਦਿੱਤੇ ਪੈਕੇਜਾਂ ਤੱਕ ਸੀਮਿਤ ਹੋ, ਅਤੇ ਆਮ ਤੌਰ 'ਤੇ ਉੱਥੇ ਹੀ ਉਹ ਯੋਜਨਾ ਰੁਕਦੀ ਹੈ।

ਉਹ /30 ਗਣਿਤ ਜਿਸਦਾ ਕੋਈ ਆਨੰਦ ਨਹੀਂ ਲੈਂਦਾ

ਡਿਫਾਲਟ net30 ਟੋਪੋਲੋਜੀ ਵਿੱਚ ਹਰ ਕਲਾਇੰਟ ਨੂੰ ਆਪਣਾ /30 ਮਿਲਦਾ ਹੈ: ਪਹਿਲਾ ਵਰਤੋਂਯੋਗ ਪਤਾ ਸਰਵਰ ਪਾਸੇ ਜਾਂਦਾ ਹੈ, ਦੂਜਾ ਕਲਾਇੰਟ ਨੂੰ। ਇਸ ਲਈ ਓਵਰਰਾਈਡ ਸਰਵਰ ਦੇ ਗਤੀਸ਼ੀਲ ਟਨਲ ਨੈੱਟਵਰਕ ਤੋਂ ਬਾਹਰ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ, ਜਿਸਦਾ ਮਤਲਬ ਹੈ ਪਹਿਲਾਂ ਉਹ ਨੈੱਟਵਰਕ ਚੌੜਾ ਕਰਨਾ। 10.8.0.0/24 'ਤੇ ਸਥਿਤ ਸਰਵਰ 10.8.0.0/23 'ਤੇ ਜਾ ਸਕਦਾ ਹੈ, ਪੁਰਾਣੀ ਸੀਮਾ ਦਾ ਅੱਧਾ ਹਿੱਸਾ ਗਤੀਸ਼ੀਲ ਕਲਾਇੰਟਾਂ ਲਈ ਅਤੇ ਦੂਜਾ ਅੱਧਾ ਓਵਰਰਾਈਡਾਂ ਲਈ ਛੱਡ ਕੇ। ਮੂਲ /24 ਨੂੰ ਵਾਧੂ IPv4 ਸਥਾਨਕ ਨੈੱਟਵਰਕ ਵਜੋਂ ਸ਼ਾਮਲ ਕਰੋ ਤਾਂ ਜੋ ਦੋਵੇਂ ਅੱਧਿਆਂ ਦਾ ਟ੍ਰੈਫਿਕ ਟਨਲ ਵਿੱਚ ਰੂਟ ਹੋਵੇ।

ਹਰ ਓਵਰਰਾਈਡ ਪਤਾ /30 ਸੀਮਾ 'ਤੇ ਪੈਣਾ ਚਾਹੀਦਾ ਹੈ, ਇਸ ਲਈ ਆਖਰੀ ਆਕਟੈਟ ਚਾਰ ਦਾ ਗੁਣਜ ਹੁੰਦਾ ਹੈ। 10.8.1.0 'ਤੇ /30 ਕਲਾਇੰਟ ਨੂੰ 10.8.1.2 ਦਿੰਦਾ ਹੈ, ਅਤੇ DNS ਰਿਕਾਰਡ ਉਹੀ ਪਤਾ ਰੱਖਦਾ ਹੈ। ਇਸਦੀ ਥਾਂ 10.8.1.3 ਚੁਣਨ ਨਾਲ ਅਜਿਹਾ ਕਲਾਇੰਟ ਬਣਦਾ ਹੈ ਜੋ ਜੁੜਦਾ ਹੈ ਪਰ ਟ੍ਰੈਫਿਕ ਨਹੀਂ ਲੰਘਾ ਸਕਦਾ, ਕਿਉਂਕਿ ਪਤਾ ਅਜਿਹੇ ਸਬਨੈੱਟ ਦਾ ਹੈ ਜੋ ਟੋਪੋਲੋਜੀ ਨੇ ਉਸਨੂੰ ਕਦੇ ਨਹੀਂ ਦਿੱਤਾ।

ਜੇ ਓਵਰਰਾਈਡ ਚੌੜੀ ਸੀਮਾ ਦੇ ਉੱਪਰੋਂ ਹੇਠਾਂ ਵੱਲ ਵੰਡੇ ਜਾਣ ਤਾਂ ਯੋਜਨਾ ਸੰਭਾਲਣਾ ਸੌਖਾ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਜੋ ਗਤੀਸ਼ੀਲ pool ਸਥਿਰ ਟਾਪੂਆਂ ਦੇ ਆਲੇ-ਦੁਆਲੇ ਨਹੀਂ, ਖਾਲੀ ਥਾਂ ਵਿੱਚ ਫੈਲੇ।

ਸਥਾਨਕ ਨੈੱਟਵਰਕ ਅਤੇ ਉਹ ਜ਼ੋਨ ਜੋ ਕਲਾਇੰਟ ਪੁੱਛਦੇ ਹਨ

ਕਲਾਇੰਟ-ਤੋਂ-ਕਲਾਇੰਟ ਟ੍ਰੈਫਿਕ ਨੂੰ ਆਪਣੀ ਇਜਾਜ਼ਤ ਚਾਹੀਦੀ ਹੈ। ਸਰਵਰ ਦੀ IPv4 ਸਥਾਨਕ ਨੈੱਟਵਰਕ ਸੂਚੀ ਵਿੱਚ ਸੀਮਾ ਦੇ ਦੋਵੇਂ ਅੱਧੇ ਹਿੱਸੇ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ, ਗਤੀਸ਼ੀਲ ਅਤੇ ਸਥਿਰ; ਇਸ ਤੋਂ ਬਿਨਾਂ ਸਰਵਰ ਇੱਕ ਕਲਾਇੰਟ ਤੋਂ ਪੈਕੇਟ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਅਤੇ ਉਸਨੂੰ ਦੂਜੇ ਤੱਕ ਲੰਘਣ ਦੇਣ ਵਾਲੀ ਕੋਈ ਨੀਤੀ ਉਸ ਕੋਲ ਨਹੀਂ। ਲੱਛਣ DNS ਫੇਲ੍ਹ ਹੋਣ ਵਰਗਾ ਲੱਗਦਾ ਹੈ, ਕਿਉਂਕਿ ਨਾਮ ਹੱਲ ਹੁੰਦਾ ਹੈ ਅਤੇ ਕਨੈਕਸ਼ਨ ਫਿਰ ਵੀ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ। ਉਸੇ ਸਮੇਂ ਕਲਾਇੰਟ-ਤੋਂ-ਕਲਾਇੰਟ ਸੈਟਿੰਗ ਵੀ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਸਿਰਫ਼ ਸਥਾਨਕ-ਨੈੱਟਵਰਕ ਐਂਟਰੀ ਸਾਥੀਆਂ ਵਿਚਕਾਰ ਫਾਰਵਰਡਿੰਗ ਨੂੰ ਸਮਰੱਥ ਨਹੀਂ ਕਰਦੀ।

ਰਿਕਾਰਡ ਉਸ ਜ਼ੋਨ ਵਿੱਚ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰੋ ਜੋ ਦੂਰ ਦੇ ਕਲਾਇੰਟ ਅਸਲ ਵਿੱਚ ਪੁੱਛਦੇ ਹਨ। ਸਿਰਫ਼ LAN resolver ਵੱਲੋਂ ਸੇਵਾ ਕੀਤੇ ਜ਼ੋਨ ਦਾ ਰਿਕਾਰਡ ਅਜਿਹੇ ਕਲਾਇੰਟ ਲਈ ਅਦਿੱਖ ਹੁੰਦਾ ਹੈ ਜਿਸਦਾ ਧੱਕਿਆ ਗਿਆ resolver ਕਿਤੇ ਹੋਰ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਗਲਤ ਜ਼ੋਨ ਵਿੱਚ ਹੋਰ ਰਿਕਾਰਡ ਜੋੜਨ ਨਾਲ ਇਹ ਕਦੇ ਠੀਕ ਨਹੀਂ ਹੁੰਦਾ। ਕੁਝ ਵੀ ਜੋੜਨ ਤੋਂ ਪਹਿਲਾਂ ਧੱਕਿਆ ਗਿਆ DNS ਵਿਕਲਪ ਅਤੇ ਖੋਜ ਡੋਮੇਨ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ।

ਨਵੇਂ ਕਨੈਕਸ਼ਨ 'ਤੇ ਕੀ ਜਾਂਚਣਾ ਹੈ

ਕਲਾਇੰਟ ਨੂੰ ਦੁਬਾਰਾ ਜੋੜੋ ਅਤੇ ਕੁਝ ਹੋਰ ਪਰਖਣ ਤੋਂ ਪਹਿਲਾਂ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਦਿੱਤਾ ਗਿਆ ਪਤਾ ਉਸਦੇ ਓਵਰਰਾਈਡ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ। ਫਿਰ ਦੂਜੇ ਕਲਾਇੰਟ ਤੋਂ ਨਾਮ ਹੱਲ ਕਰੋ ਅਤੇ ਨਾਮ ਨਾਲ ਸੇਵਾ ਨਾਲ ਜੁੜੋ, ਜੋ DNS ਰਿਕਾਰਡ, ਰੂਟ ਅਤੇ ਫਾਇਰਵਾਲ ਨੂੰ ਇਕੱਠੇ ਪਰਖਦਾ ਹੈ। ਸਰਵਰ ਪਾਸੇ ਜਵਾਬ ਦਾ ਰਾਹ ਪੁਸ਼ਟੀ ਕਰੋ, ਕਿਉਂਕਿ ਨਾਮ ਹੱਲ ਹੁੰਦਾ ਹੋਇਆ ਵੀ ਸੇਵਾ ਨਾ ਪਹੁੰਚਣਾ ਨਾਮਕਰਨ ਦੀ ਨਹੀਂ, ਰੂਟਿੰਗ ਜਾਂ ਨੀਤੀ ਦੀ ਸਮੱਸਿਆ ਹੈ। ਓਵਰਰਾਈਡ ਸਾਰਣੀ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਸੂਚੀ ਦੇ ਕੋਲ ਰੱਖੋ ਤਾਂ ਜੋ ਦੋਵੇਂ ਇਕੱਠੇ ਸਮੀਖਿਆ ਹੋਣ।

ਕਿਸੇ ਹੋਰ ਆਮ ਨਾਮ ਹੇਠ ਦੁਬਾਰਾ ਜਾਰੀ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਆਪਣੇ ਓਵਰਰਾਈਡ ਨਾਲ ਮੇਲ ਖਾਣਾ ਬੰਦ ਕਰ ਦਿੰਦਾ ਹੈ ਅਤੇ ਕਲਾਇੰਟ ਨੂੰ ਗਤੀਸ਼ੀਲ pool ਵਿੱਚ ਵਾਪਸ ਲੈ ਆਉਂਦਾ ਹੈ। ਕਿਸੇ ਵੀ ਪਛਾਣ ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਇਸਦੀ ਉਮੀਦ ਰੱਖੋ।