ifconfig-push: naslov partnerja v net30 ali maska podomrežja v subnet?

Dinamični odjemalci se povežejo in usmerjajo brez težav, a edini odjemalec s fiksnim naslovom sploh ne doseže strežnika. V požarnem zidu se ni nič spremenilo, vrstica CCD pa je videti verjetna. Običajni vzrok je drugi argument, napisan za drugačno topologijo TUN od tiste, ki jo strežnik izvaja. Okvara je tiha: odjemalec se dvigne z naslovom in strežnik sprejme povezavo, a promet ne preide.

V net30 je to polje naslov partnerja; v subnet je maska podomrežja. Obe obliki sta alternativi, nikoli zaporedje.

Obliki druga ob drugi

V tradicionalni namestitvi net30 ima vsak odjemalec blok /30: naslov omrežja, dva uporabna naslova in naslov za oddajanje. ifconfig-push sprejme naslov odjemalca in naslov partnerja, partner pa je drugi uporabni naslov v istem bloku, ki ga uporablja strežniška stran povezave od točke do točke.

# net30: client address and its peer
ifconfig-push 10.99.0.6 10.99.0.5
# topology subnet: client address and the pool netmask
ifconfig-push 10.99.0.20 255.255.255.0

Pod topology subnet si odjemalec deli eno podomrežje s strežnikom, ista direktiva pa sprejme naslov in masko podomrežja. Lastni naslov strežnika izhaja iz direktive server, ne iz drugega polja. Mešanje oblik ustvari odjemalca, ki misli, da je na povezavi od točke do točke, medtem ko ga strežnik usmerja kot gostitelja podomrežja, ali obratno. Zato maske podomrežja nikoli ne smemo združiti z net30.

Obe vrstici v bloku sta posamezni vrstici za datoteko CCD. En odjemalec dobi natanko eno od njiju.

Preberite topologijo, ki jo strežnik dejansko izvaja

Berite delujočo konfiguracijo, ne privzete iz paketa, ker je bila topologija morda nastavljena pred leti in kopirana naprej. Poiščite topology subnet ali njegovo odsotnost, nato preverite, kako vrstica server dodeljuje naslove. Konfiguracija, ki nikoli ne omenja topologije, ni enaka tisti, ki nastavi subnet.

Nato preberite nastavitve, ki jih je prejel odjemalec. Naslov, maska in partner, ki jih poroča, povedo, katero razlago je uporabil strežnik.

Fiksni naslov držite zunaj dinamičnega bazena

Fiksni naslov mora biti zunaj dinamičnega bazena, sicer lahko dva odjemalca dobita isti naslov. Pri topologiji subnet nopool v vrstici server zatre samodejni bazen, izrecno območje ifconfig-pool pa določa, kaj prejmejo dinamični odjemalci.

dev tun
topology subnet
server 10.99.0.0 255.255.255.0 nopool
ifconfig-pool 10.99.0.100 10.99.0.210 255.255.255.0
client-config-dir /etc/openvpn/ccd

Strežnik vzame 10.99.0.1 zase, fiksni naslov odjemalca pa je zunaj območja bazena. Datoteka CCD se imenuje po dejanski identiteti odjemalca, ne po imenu profilne datoteke, in nima dodatne končnice. Če je username-as-common-name aktiven, je overjeno uporabniško ime identiteta, ki se mora ujemati. Dve napravi, ki si delita eno identiteto, si bosta delili tudi fiksni naslov, kar je politična težava in ne težava usmerjanja.

Preverite dodelitev, ki jo je odjemalec dejansko prejel

Ponovno povežite ciljnega odjemalca in potrdite, katera datoteka CCD je bila izbrana, preden preverite karkoli drugega. Nato preverite naslov, masko ali partnerja in pot nazaj do strežnika. Odjemalec, ki v namestitvi subnet prikazuje naslov partnerja, še vedno uporablja napačno obliko.

Sprememba topologije vpliva na vsakega odjemalca in vsak prepis, zato jo obravnavajte kot selitev, ne kot popravilo enega odjemalca. Popravljanje statične vrstice, da ustreza že uporabljeni topologiji, je običajno manjša sprememba. Referenca server-options dokumentira pomočnika in prepise, specifične za odjemalca.