Статичне адресе OpenVPN клијената иза OPNsense

Имена траже адресе које се не померају, а датотека pool OpenVPN-а само чини адресу лепљивом. Изгубите ту датотеку или поново издајте сертификат под другим заједничким именом, и клијент који се враћа слеће негде другде у pool-у, док његов DNS запис још увек показује на стару адресу. Трајан одговор је override специфичан за клијента који причвршћује адресу, уз ширу мрежу тунела како би причвршћене адресе стајале изван динамичког распона. Аритметика иза тог проширења је место где живи већина забуне.

OPNsense држи ове override поставке у подешавањима сервера специфичним за клијента, са кључем заједничког имена сертификата, што заједничко име чини делом плана адреса.

Лепљив закуп није статична адреса

Датотека pool записује пресликавања адресе на клијента и враћа их када се познати клијент поново повеже. То је погодност, а не уговор: датотека се може поново генерисати, пресликавање нестаје када се идентитет клијента промени, а два сервера која деле pool неће се сложити око тога. Override специфичан за клијента ради другачије, јер адреса долази из конфигурације, а не из историје. Такође преживљава поновно покретање и поновну инсталацију уређаја, под условом да је override сачуван у резервној копији са остатком конфигурације.

Динамичка алтернатива, повезивање VPN-а са DNS-ом преко client-connect скрипте и динамичких ажурирања, ради и захтева resolver који прихвата ажурирања, плус скрипту при сваком повезивању. На уређају сте ограничени на пакете које испоручује добављач, и обично се ту тај план зауставља.

Аритметика /30 у којој нико не ужива

У подразумеваној топологији net30 сваки клијент добија своју /30: прва употребљива адреса иде на страну сервера, друга клијенту. Override адресе зато морају стајати изван динамичке мреже тунела сервера, што значи прво проширити ту мрежу. Сервер на 10.8.0.0/24 може прећи на 10.8.0.0/23, остављајући половину старог распона динамичким клијентима, а другу половину override адресама. Додајте изворни /24 као додатну локалну мрежу IPv4 како би саобраћај ка обе половине ишао у тунел.

Свака override адреса мора пасти на границу /30, па је последњи октет умножак четири. /30 на 10.8.1.0 даје клијенту 10.8.1.2, и то је адреса коју носи DNS запис. Избор 10.8.1.3 уместо тога даје клијента који се повезује и не може да пропусти саобраћај, јер адреса припада подмрежи коју му топологија никада није доделила.

План је лакше одржавати ако се override адресе додељују од врха проширеног распона надоле, тако да се динамички pool шири у слободан простор, а не око фиксних острва.

Локалне мреже и зона коју клијенти питају

Саобраћај између клијената тражи сопствену дозволу. Списак локалних мрежа IPv4 сервера мора да укључи обе половине распона, динамичку и статичку; без тога сервер прима пакет од једног клијента и нема правило које дозвољава да прође ка другом. Симптом изгледа као квар DNS-а, јер се име разрешава, а веза ипак не успева. Истовремено проверите и поставку комуникације међу клијентима, јер сам запис локалне мреже не укључује прослеђивање између равноправних чворова.

Објавите записе у зони коју удаљени клијенти стварно питају. Запис у зони коју опслужује само resolver на LAN-у невидљив је клијенту чији гурнути resolver показује негде другде, а додавање више записа у погрешну зону то никада не поправља. Пре него што било шта додате, потврдите гурнуту DNS опцију и домен претраге.

Шта проверити на новој вези

Поново повежите клијента и потврдите да се додељена адреса слаже са његовим override-ом пре него што испробате било шта друго. Затим разрешите име са другог клијента и повежите се на услугу по имену, што заједно испитује DNS запис, руту и заштитни зид. Потврдите повратни пут на страни сервера, јер име које се разрешава док услуга остаје недоступна проблем је усмеравања или правила, а не именовања. Држите табелу override адреса уз списак сертификата како би се обоје прегледало заједно.

Сертификат поново издат под другим заједничким именом престаје да се слаже са својим override-ом и враћа клијента у динамички pool. Очекујте то после сваке промене идентитета.