Statická IP OpenVPN pre každého klienta: ifconfig-push, nie ipp.txt

Úprava riadku v ipp.txt vyzerá ako rezervácia adresy, ale nie je. Tento súbor, pomenovaný ifconfig-pool-persist, zaznamenáva, akú adresu malo spoločné meno naposledy, aby fond mohol vrátiť tú istú, keď sa to hodí. Nič v ňom nespája ďalšie pripojenie s týmto číslom.

Vykonajte nižšie uvedené kontroly v poradí. Každá buď potvrdí mechanizmus, alebo vám povie, aby ste sa zastavili a opravili vstup.

Na čo slúži súbor perzistencie

Súbor existuje preto, aby adresy zostali stabilné medzi reštartmi, čo robí opätovné pripojenia príjemnejšími a protokoly čitateľnejšími. Číta sa ako história a zapisuje sa ako história a alokačná cesta zostáva voľná vybrať inú adresu, keď náznak nesedí: iný fond, konfliktná alokácia alebo klient, ktorý prišiel po zaplnení fondu. Preto môže ručná úprava vyzerať v súbore dokonale a na pripojení nič nezmeniť. Berte ho ako vyrovnávaciu pamäť minulých rozhodnutí, nie ako zdroj pravidiel.

Ak potrebujete konkrétnu adresu pre konkrétneho klienta, dokumentovaným mechanizmom je ifconfig-push a patrí do konfigurácie, ktorá toho klienta vlastní.

Overte, že je vybraný správny klient

Explicitná alokácia sa vyhľadáva podľa spoločného mena klienta, takže súbor pomenovaný podľa nesprávnej identity sa jednoducho nikdy neprečíta. Overte, čo server považuje za meno tohto klienta, najmä tam, kde ho username-as-common-name po autentifikácii zmení. Potom overte, že názov súboru presne zodpovedá tejto hodnote vrátane veľkosti písmen.

Zamyslite sa nad súbežnosťou, kým ste tu. Ak je povolené duplicate-cn, viacero zariadení môže predložiť rovnakú identitu a jedna pevná adresa nemôže byť jedinečná pre všetky. Rozhodnite, či pevná adresa stojí za odmietnutie súbežných relácií pre túto identitu, pretože tieto dve požiadavky nemožno splniť súčasne.

Overte, že čísla zodpovedajú topológii

Význam argumentov závisí od topológie tunela a práve tu napácha kopírovaný príklad najviac škody. V staršom usporiadaní net30 zaberá každý klient blok štyroch adries, takže push dodáva dvojicu adries. V topológii podsiete klient dostane jednu adresu plus masku fondu a tvar dvojice je nesprávny. Prečítajte si topológiu z bežiacej konfigurácie pred napísaním riadku.

# /etc/openvpn/ccd/partner-a   (subnet topology)
ifconfig-push 10.44.0.61 255.255.255.0

Overte adresu voči všetkému ostatnému, čo by ju mohlo vlastniť: inej explicitnej alokácii, rozsahu dynamického fondu a akejkoľvek statickej trase, ktorá predpokladá pevného hostiteľa. Adresa, ktorá sa prekrýva s fondom, bude fungovať, kým ju fond neodovzdá niekomu inému, a to zlyhanie bude vyzerať náhodne.

Overte výsledok na novom pripojení

Existujúca relácia si ponecháva adresu, ktorú dostala, takže jediným zmysluplným testom je nové pripojenie. Odpojte klienta, pripojte sa znova a prečítajte adresu, ktorú skutočne dostal, spolu s trasami, ktoré s ňou prišli. Ak je adresa stále dynamická, alokácia sa neuplatnila a ďalším krokom je hľadanie v konfigurácii, nie ďalšia úprava súboru histórie.

Uchovajte dôkazy spolu: názov klienta, súbor, ktorý sedel, pridelenú adresu a fond, z ktorého prišla.

Nakoniec, pevná adresa tunela nie je prihlasovací údaj zariadenia. Označuje miesto v pláne adries, zatiaľ čo autentifikácia stále stojí na certifikáte a účte. Zámena oboch mení konflikt adries na bezpečnostný predpoklad, ktorý nikto nezapísal.