Adresat e qëndrueshme të OpenVPN duhet të ndjekin identitetin, jo IP-në burimore

Planet e adresave që thonë «ky laptop merr 10.90.0.10» janë në fakt pohime për identitetin: cila pajisje e vërtetuar mund ta mbajë atë adresë. IP-ja publike aktuale e asaj pajisjeje pothuajse nuk ka lidhje me këtë, sepse NAT dhe roaming e ndryshojnë pa ndryshuar kush është përdoruesi. Ndërtimi i planit mbi adresën burimore prodhon rregulla që prishen në rrjetin e parë të hotelit. Ndërtimi mbi identitetin e vërtetuar prodhon një plan që i mbijeton udhëtimit.

Filloni nga ajo që serveri mund të verifikojë, pastaj vendosni për çfarë është adresa.

Zgjidhni çelësin e identitetit para adresës

Një certifikatë klienti e veçantë për çdo pajisje i jep serverit një çelës të qëndrueshëm e të verifikueshëm për çdo anëtar, që është baza më e pastër për një caktim statik. Një vendosje që përdor vërtetim për çdo përdorues mund të mbështetet në emrin e përdoruesit, për sa kohë që zgjedhja e konfigurimit ndjek të njëjtën fushë. Përzierja e dy modeleve prodhon caktime që përputhen me një certifikatë për një klient dhe me një emër përdoruesi për një tjetër, dhe askush nuk mund të parashikojë cili do të fitojë. Vendosni cilin çelës përdor plani përpara se të shkruani edhe një rezervim të vetëm.

Me duplicate-cn, disa sesione të njëkohshme mund të paraqesin të njëjtin emër të përbashkët, kështu që një adresë e fiksuar nuk mund t'i identifikojë individualisht. Kjo është një veti e modelit të identitetit, jo diçka që një plan adresash më i mirë mund ta rregullojë.

Rezervoni adresa jashtë intervalit dinamik

Në një rrjet me topologji nënrrjeti si 10.90.0.0/24, mbani adresat e ulëta për anëtarët e emëruar dhe vendosni pishinën dinamike në një interval të veçantë. Një caktim për një anëtar të fiksuar duket kështu ifconfig-push 10.90.0.10 255.255.255.0 në skedarin që serveri zgjedh për atë identitet. Argumenti i dytë do të thotë diçka tjetër nën net30, kështu që shembulli nuk është neutral ndaj topologjisë. Lexoni topologjinë përpara se ta kopjoni.

Qëndrueshmëria e pishinës regjistron qirajet e fundit dhe ka tendencë të kthejë të njëjtën adresë, gjë që është lehtësi dhe jo rezervim. Mos lejoni që skedari i qëndrueshmërisë të bëhet regjistri i pronësisë, sepse ndryshon me historikun e lidhjeve, jo me politikën.

Përparësia e caktimit vendos kush fiton

Manuali dokumenton një rend: një caktim i qartë i krijuar gjatë client-connect mund të hyjë në fuqi para një zëri client-config-dir, i cili nga ana tjetër paraprin shpërndarjen e zakonshme nga pishina. Ai rend shpjegon shumicën e raporteve «adresa e fiksuar nuk u zbatua». Do të thotë gjithashtu se një shpërndarës dinamik që shkruan konfigurim për çdo sesion mund të anashkalojë në heshtje një skedar statik që e konsideronit autoritar.

Zgjidhni një shtresë që zotëron caktimet dhe bëni të tjerat vetëm për lexim. Dy shtresa që të dyja pretendojnë se vendosin prodhojnë caktime që varen nga koha.

Një shpërndarës dinamik ka nevojë për të njëjtin model

Një integrim client-connect që shpërndan adresa për çdo sesion është një shpërndarës i vogël me problemet e zakonshme të shpërndarësit. Duhet të verifikojë identitetin e kërkuesit, të rezervojë një adresë në mënyrë atomike, të nxjerrë vetëm daljen për lidhje të mbështetur dhe të lëshojë rezervimin në shkëputje ose dështim. Kërkesat e njëkohshme kanë nevojë për një bllokim ose kufizim të bazës së të dhënave, jo për një sekuencë lexo-pastaj-shkruaj. Pa pastrim, pishina rrjedh adresa deri në një rinisje.

Mbani gjendjen e shpërndarësit atje ku operatori i ardhshëm mund ta lexojë, dhe regjistroni vendimin identitet-në-adresë, jo vetëm adresën.

Vendosni nëse adresa është politikë ose lehtësi

Nëse një rregull muri zjarri ose një rrugë lejon trafik nga një adresë tuneli, atëherë adresa merr pjesë në politikën e aksesit dhe një ricaktim trashëgon atë leje. Koordinoni ciklin e jetës së identitetit, adresës dhe murit të zjarrit, ose lidhni rregullin me diçka që nuk mund të ricaktohet. Adresimi i qëndrueshëm e bën konfigurimin të lexueshëm; nuk zëvendëson vërtetimin.

Shkruani planin si inventar me një pronar për çdo zë, pastaj rishikojeni kur një pajisje tërhiqet nga përdorimi. Rezervimi i papërdorur është ai që ripërdoret aksidentalisht.