Statični naslovi odjemalcev OpenVPN za OPNsense

Imena potrebujejo naslove, ki se ne premikajo, in datoteka zbirke OpenVPN naredi naslov le lepljiv. Izgubite to datoteko ali znova izdajte potrdilo pod drugim skupnim imenom, in vračajoči se odjemalec pristane drugje v zbirki, medtem ko njegov zapis DNS še vedno kaže na stari naslov. Trajen odgovor je prepis, specifičen za odjemalca, ki naslov pripne, skupaj s širšim omrežjem tunela, da pripeti naslovi ležijo zunaj dinamičnega obsega. Aritmetika za to razširitvijo je kraj, kjer živi večina zmede.

OPNsense hrani te prepise v nastavitvah strežnika, specifičnih za odjemalca, ključenih s skupnim imenom potrdila, kar naredi skupno ime del načrta naslovov.

Lepljiv najem ni statičen naslov

Datoteka zbirke zapisuje preslikave naslova v odjemalca in jih vrne, ko se znani odjemalec znova poveže. To je udobje, ne pogodba: datoteko je mogoče znova ustvariti, preslikava izgine, ko se spremeni identiteta odjemalca, in dva strežnika, ki si delita zbirko, se o tem ne bosta strinjala. Prepis, specifičen za odjemalca, deluje drugače, ker naslov pride iz konfiguracije in ne iz zgodovine. Preživi tudi ponovni zagon in ponovno namestitev naprave, če je prepis vključen v varnostno kopijo skupaj z ostalo konfiguracijo.

Dinamična alternativa, priklop VPN na DNS s skriptom za povezavo odjemalca in dinamičnimi posodobitvami, deluje in zahteva razreševalnik, ki sprejema posodobitve, ter skript ob vsaki povezavi. Na napravi ste omejeni na pakete, ki jih dobavi proizvajalec, in tam se ta načrt običajno ustavi.

Aritmetika /30, ki je nihče ne mara

Pri privzeti topologiji net30 dobi vsak odjemalec svoj /30: prvi uporabni naslov gre na stran strežnika, drugi odjemalcu. Prepisi morajo zato ležati zunaj dinamičnega omrežja tunela strežnika, kar pomeni, da je treba to omrežje najprej razširiti. Strežnik na 10.8.0.0/24 se lahko premakne na 10.8.0.0/23 in pusti polovico starega obsega dinamičnim odjemalcem ter drugo polovico prepisom. Dodajte izvirni /24 kot dodatno lokalno omrežje IPv4, da promet v obe polovici vstopi v tunel.

Vsak naslov prepisa mora pasti na mejo /30, zato je zadnji oktet večkratnik štirih. /30 na 10.8.1.0 da odjemalcu 10.8.1.2 in to je naslov, ki ga nosi zapis DNS. Če namesto tega izberete 10.8.1.3, dobite odjemalca, ki se poveže in ne more prepustiti prometa, ker naslov pripada podomrežju, ki mu ga topologija nikoli ni dodelila.

Načrt je lažje vzdrževati, če se prepisi dodeljujejo od vrha razširjenega obsega navzdol, tako da se dinamična zbirka širi v prosti prostor, ne pa okoli stalnih otokov.

Lokalna omrežja in območje, ki ga odjemalci sprašujejo

Promet med odjemalci potrebuje svoje dovoljenje. Seznam lokalnih omrežij IPv4 strežnika mora vsebovati obe polovici obsega, dinamično in statično; brez njega strežnik sprejme paket od enega odjemalca in nima pravila, ki bi ga spustilo do drugega. Simptom se bere kot okvara DNS, ker se ime razreši in povezava vseeno ne uspe. Hkrati preverite nastavitev med odjemalci, saj vnos lokalnega omrežja sam po sebi ne omogoča posredovanja med enakovrednimi odjemalci.

Objavite zapise v območju, ki ga oddaljeni odjemalci dejansko sprašujejo. Zapis v območju, ki ga oskrbuje samo razreševalnik LAN, je neviden za odjemalca, katerega potisnjeni razreševalnik kaže drugam, in dodajanje več zapisov v napačno območje tega nikoli ne popravi. Potrdite potisnjeno možnost DNS in iskalno domeno preden kar koli dodate.

Kaj preveriti pri novi povezavi

Znova povežite odjemalca in pred preizkušanjem česar koli drugega potrdite, da se dodeljeni naslov ujema z njegovim prepisom. Nato razrešite ime z drugega odjemalca in se povežite s storitvijo po imenu, kar skupaj preizkusi zapis DNS, pot in požarni zid. Potrdite povratno pot na strani strežnika, ker je ime, ki se razreši, medtem ko storitev ostane nedosegljiva, problem usmerjanja ali pravil, ne poimenovanja. Imajte tabelo prepisov ob seznamu potrdil, da se oba pregledata skupaj.

Potrdilo, znova izdano pod drugim skupnim imenom, preneha ustrezati svojemu prepisu in vrne odjemalca v dinamično zbirko. To pričakujte po vsaki spremembi identitete.