ifconfig-push: adresa partnera v net30 alebo maska podsiete v subnet?

Druhý argument ifconfig-push je adresa partnera v net30 a maska podsiete pod topology subnet. Pred úpravou súboru CCD porovnajte bežiacu topológiu.

Dynamickí klienti sa pripájajú a smerujú dobre, ale jediný klient s pevnou adresou sa k serveru vôbec nedostane. Vo firewalle sa nič nezmenilo a riadok CCD vyzerá vierohodne. Zvyčajnou príčinou je druhý argument napísaný pre inú topológiu TUN, než akú server používa. Porucha je tichá: klient sa zdvihne s adresou a server prijme spojenie, ale žiadna prevádzka neprechádza.

V net30 je to pole adresa partnera; v subnet je to maska podsiete. Oba tvary sú alternatívy, nikdy nie postupnosť.

Oba tvary vedľa seba

V tradičnom nasadení net30 každý klient vlastní blok /30: adresu siete, dve použiteľné adresy a broadcastovú adresu. ifconfig-push preberá adresu klienta a adresu partnera, pričom partner je druhá použiteľná adresa v tom istom bloku, ktorú používa serverská strana spoja bod-bod.

# net30: client address and its peer
ifconfig-push 10.99.0.6 10.99.0.5
# topology subnet: client address and the pool netmask
ifconfig-push 10.99.0.20 255.255.255.0

Pod topology subnet klient zdieľa jednu podsieť so serverom a tá istá direktíva preberá adresu a masku podsiete. Vlastná adresa servera pochádza z direktívy server, nie z druhého poľa. Miešanie tvarov vytvára klienta, ktorý si myslí, že je na spoji bod-bod, kým ho server smeruje ako hostiteľa podsiete, alebo naopak. Preto sa maska podsiete nikdy nesmie spárovať s net30.

Oba riadky v bloku sú samostatné riadky pre súbor CCD. Jeden klient dostane presne jeden z nich.

Prečítajte topológiu, ktorú server skutočne spúšťa

Čítajte bežiacu konfiguráciu, nie predvolenú z balíka, pretože topológia mohla byť nastavená pred rokmi a skopírovaná ďalej. Hľadajte topology subnet alebo jeho neprítomnosť, potom skontrolujte, ako riadok server prideľuje adresy. Konfigurácia, ktorá nikdy nespomína topológiu, nie je to isté ako tá, ktorá nastavuje subnet.

Potom prečítajte nastavenia, ktoré klient dostal. Adresa, maska a partner, ktoré hlási, hovoria, ktorú interpretáciu server použil.

Držte pevnú adresu mimo dynamického fondu

Pevná adresa musí byť mimo dynamického fondu, inak môžu dvaja klienti dostať rovnakú adresu. Pri topológii subnet nopool na riadku server potláča automatický fond a explicitný rozsah ifconfig-pool určuje, čo dynamickí klienti dostanú.

dev tun
topology subnet
server 10.99.0.0 255.255.255.0 nopool
ifconfig-pool 10.99.0.100 10.99.0.210 255.255.255.0
client-config-dir /etc/openvpn/ccd

Server si vezme 10.99.0.1, a pevná adresa klienta je mimo rozsahu fondu. Súbor CCD je pomenovaný podľa efektívnej identity klienta, nie podľa názvu profilového súboru, a nemá žiadnu extra príponu. Ak je username-as-common-name aktívne, autentifikované používateľské meno je identita, ktorá sa má porovnať. Dve zariadenia, ktoré zdieľajú jednu identitu, budú zdieľať aj pevnú adresu, čo je problém politiky, nie smerovania.

Overte pridelenie, ktoré klient skutočne dostal

Znovu pripojte zamýšľaného klienta a pred kontrolou čohokoľvek iného potvrďte, ktorý súbor CCD bol vybraný. Potom overte adresu, masku alebo partnera a cestu späť k serveru. Klient, ktorý v nasadení subnet zobrazuje adresu partnera, stále používa nesprávny tvar.

Zmena topológie ovplyvňuje každého klienta a každé prepísanie, preto ju berte ako migráciu, nie ako opravu jedného klienta. Oprava statického riadku tak, aby zodpovedal už používanej topológii, je zvyčajne menšia zmena. Referencia server-options dokumentuje pomocníka a prepísania špecifické pre klienta.

Súvisiace články