Statické klientske adresy OpenVPN za OPNsense

Mená potrebujú adresy, ktoré sa nehýbu, a súbor fondu OpenVPN robí adresu len priľnavou. Stratte ten súbor alebo znova vystavte certifikát pod iným všeobecným názvom, a vracajúci sa klient pristane inde vo fonde, zatiaľ čo jeho DNS záznam stále ukazuje na starú adresu. Trvalou odpoveďou je prepis špecifický pre klienta, ktorý adresu pripne, plus širšia tunelová sieť, aby pripnuté adresy ležali mimo dynamického rozsahu. Aritmetika za týmto rozšírením je miesto, kde žije väčšina zmätku.

OPNsense drží tieto prepisy v nastaveniach servera špecifických pre klienta, kľúčovaných všeobecným názvom certifikátu, čo robí zo všeobecného názvu súčasť plánu adries.

Priľnavý prenájom nie je statická adresa

Súbor fondu zapisuje mapovania adresy na klienta a vracia ich, keď sa známy klient znova pripojí. To je pohodlie, nie zmluva: súbor možno znova vygenerovať, mapovanie zmizne, keď sa zmení identita klienta, a dva servery zdieľajúce fond sa na tom nezhodnú. Prepis špecifický pre klienta funguje inak, pretože adresa pochádza z konfigurácie, nie z histórie. Prežije aj reštart a preinštalovanie zariadenia, ak sa prepis zálohuje spolu so zvyškom konfigurácie.

Dynamická alternatíva, teda zapojenie VPN do DNS pomocou skriptu pripojenia klienta a dynamických aktualizácií, funguje a vyžaduje resolver, ktorý prijíma aktualizácie, plus skript pri každom pripojení. Na zariadení ste obmedzení na balíčky, ktoré dodáva výrobca, a tam sa tento plán zvyčajne končí.

Aritmetika /30, ktorú nikto nemá rád

Pri predvolenej topológii net30 dostáva každý klient svoj vlastný /30: prvá použiteľná adresa ide na stranu servera, druhá klientovi. Prepisy preto musia ležať mimo dynamickej tunelovej siete servera, čo znamená najprv túto sieť rozšíriť. Server na 10.8.0.0/24 sa môže posunúť na 10.8.0.0/23 a ponechať polovicu starého rozsahu dynamickým klientom a druhú polovicu prepisom. Pridajte pôvodný /24 ako ďalšiu lokálnu sieť IPv4, aby premávka do oboch polovíc smerovala do tunela.

Každá adresa prepisu musí padnúť na hranicu /30, takže posledný oktet je násobkom štyroch. /30 na 10.8.1.0 dá klientovi 10.8.1.2, a to je adresa, ktorú nesie DNS záznam. Ak namiesto toho zvolíte 10.8.1.3, vznikne klient, ktorý sa pripojí a nedokáže prepustiť premávku, pretože adresa patrí podsieti, ktorú mu topológia nikdy nepridelila.

Plán sa ľahšie udržiava, ak sa prepisy prideľujú od vrchu rozšíreného rozsahu nadol, takže dynamický fond sa rozširuje do voľného priestoru namiesto obchádzania pevných ostrovov.

Lokálne siete a zóna, na ktorú sa klienti pýtajú

Premávka medzi klientmi potrebuje vlastné povolenie. Zoznam lokálnych sietí IPv4 servera musí obsahovať obe polovice rozsahu, dynamickú aj statickú; bez neho server prijme paket od jedného klienta a nemá pravidlo, ktoré by ho pustilo k inému. Symptóm sa číta ako zlyhanie DNS, pretože názov sa vyrieši a spojenie napriek tomu zlyhá. Skontrolujte súčasne nastavenie medzi klientmi, pretože samotný záznam lokálnej siete neumožňuje preposielanie medzi partnermi.

Zverejnite záznamy v zóne, na ktorú sa vzdialení klienti skutočne pýtajú. Záznam v zóne obsluhovanej len resolverom LAN je neviditeľný pre klienta, ktorého vložený resolver ukazuje inam, a pridávanie ďalších záznamov do nesprávnej zóny to nikdy nespraví. Potvrďte vloženú voľbu DNS a vyhľadávaciu doménu predtým, než čokoľvek pridáte.

Čo skontrolovať pri novom pripojení

Znova pripojte klienta a pred testovaním čohokoľvek iného potvrďte, že pridelená adresa zodpovedá jeho prepisu. Potom vyriešte názov z druhého klienta a pripojte sa k službe podľa názvu, čo spoločne preverí DNS záznam, trasu aj firewall. Potvrďte spätnú cestu na strane servera, pretože názov, ktorý sa vyrieši, kým služba zostáva nedostupná, je problém smerovania alebo politiky, nie pomenovania. Majte tabuľku prepisov vedľa zoznamu certifikátov, aby sa obe kontrolovali spolu.

Certifikát znova vystavený pod iným všeobecným názvom prestane zodpovedať svojmu prepisu a vráti klienta do dynamického fondu. Po každej zmene identity to očakávajte.