Seva ya OpenVPN na nopool: tangaza masafa ya bwawa dhahiri

Visimamizi vya seva husanidi subnet kisha huijaza na bwawa la kubadilika la uchaguzi wao. Chaguo hilo la msingi ni rahisi hadi anwani zingine zibidi kubaki nje ya ugawaji — iwe zimehifadhiwa kwa ugawaji thabiti au zimewekwa kwa ajili ya sehemu ya baadaye. Kuzima bwawa la kiotomatiki na kutangaza masafa mwenyewe kunahitaji mistari miwili na uamuzi mmoja wa kufahamu kuhusu anwani ambazo si za ugawaji. Kilichobaki ni nidhamu ya uendeshaji: orodha, utekelezaji, uthibitishaji, na kurudisha nyuma.

Huu ni mabadiliko kwenye huduma inayofanya kazi, kwa hivyo chukulia kama kazi ya uendeshaji: kwanza orodha, kisha utekelezaji kupitia mzunguko wa kawaida wa maisha, uthibitishaji kwa mteja mpya na kurudisha nyuma tayari.

Anza na subnet uliyo nayo tayari

Soma usanidi wa sasa wa seva na anwani ambazo wateja wanashikilia kwa hakika. Mabadiliko ya bwawa yana maana tu kwa kulinganisha na msingi huo, na msingi si kila mara kile faili inayodokeza, kwa sababu bidhaa inayosimamiwa au kizalishaji cha usanidi kinaweza kumiliki faili unayoisoma.

grep -nE '^(topology|server|ifconfig-pool|max-clients|client-config-dir)' /etc/openvpn/server/lab.conf
ip -4 addr show tun0

Thibitisha topolojia inayotumika. Katika topolojia ya subnet kila mteja huchukua anwani moja kutoka bwawani; mipangilio ya zamani ya net30 hugawa kizuizi kidogo kwa kila mteja na hesabu ni tofauti kabisa. Ikiwa seva bado iko kwenye net30, ukurasa huu ni mwongozo usiofaa wa uhamishaji na nambari za bwawa hazitamaanisha unachotarajia. Angalia mstari huo kabla ya kunakili hesabu za anwani kutoka mahali pengine.

Andika anwani ya seva yenyewe, kila ugawaji thabiti katika saraka ya usanidi wa wateja, na anwani yoyote ambayo njia au kanuni ya ufikiaji inategemea. Hizi ndizo anwani ambazo lazima zibaki nje ya masafa ya kubadilika. Kuziandika kwanza ndiko kunafanya masafa kuwa uamuzi badala ya dhahania. Pia kunapa kurudisha nyuma kitu halisi cha kurejesha.

Ongeza nopool na utangaze masafa

Neno muhimu la msaidizi linakubali nopool, ambalo huhifadhi usanidi wa subnet na kuzima bwawa la kubadilika la kiotomatiki, kama mwongozo wa OpenVPN 2.6 unavyoeleza. Kisha mstari dhahiri wa ifconfig-pool hutoa masafa yanayojumuisha unayokusudia, na kifuniko chake cha mtandao kinalingana na subnet. Mistari yote miwili ni ya kizuizi kimoja cha seva, kwa sababu bwawa lisilo na subnet yake halina maana. Mpangilio kati yao ni muhimu tu kwa usomaji, kwa kuwa msaidizi hufunua jozi hiyo huduma inapoanza.

topology subnet
server 10.70.0.0 255.255.255.0 nopool
ifconfig-pool 10.70.0.50 10.70.0.120 255.255.255.0

Mipaka yote miwili inajumuisha, kwa hivyo mfano unatoa anwani sabini na moja. Shikilia anwani ya seva na kila ugawaji thabiti nje ya upana huo; ugawaji thabiti unaoanguka ndani ya masafa ya kubadilika huzalisha mgongano unaotegemea mpangilio wa miunganisho, na hiyo ni aina mbaya zaidi kwa utatuzi wa hitilafu. Acha nafasi kati ya seti iliyohifadhiwa na masafa ikiwa ugawaji thabiti una uwezekano wa kuongezeka.

Ukubwa wa masafa na usawa wa wakati ni mipaka tofauti. Anwani mia moja haimaanishi wateja mia moja kwa wakati mmoja ikiwa max-clients inasema vinginevyo, na bwawa kubwa kuliko kikomo cha usawa wa wakati ni kawaida na si ubadhirifu. Kilicho muhimu ni kwamba mipaka yote miwili ichaguliwe kwa kufahamu badala ya kurithi kutoka kwa chaguo la msingi.

Shikilia ugawaji thabiti nje ya masafa ya kubadilika

Maalum kwa mteja ifconfig-push ni utaratibu tofauti na ugawaji wa bwawa, na lazima utumie vigezo vinavyofaa topolojia inayotumika. Katika hali ya subnet ni anwani moja na kifuniko cha mtandao; kuhamisha jozi la net30 kwa sababu lilionekana katika mfano wa zamani ni kosa la kawaida.

Historia ya ugawaji ni dokezo, si mamlaka. Faili persist hukumbuka mteja gani alikuwa na anwani gani, kwa hivyo wateja wanaounganisha tena huwa wanapokea ile ile, na haihifadhi anwani, haizifungui au kuchukua nafasi ya ugawaji thabiti. Ikiwa kifaa fulani lazima kila mara kishikilie anwani fulani, tumia ugawaji thabiti badala ya kutegemea faili persist.

Kisha angalia njia zinazotegemea anwani. Njia inayosukumwa kwa wateja, kanuni ya ukuta wa moto inayoruhusu subnet, au ukaguzi wa ufuatiliaji unaotarajia mwenyeji fulani zote zinaweza kudhani masafa ya zamani. Kubadilisha bwawa bila kuzisoma huhamisha hitilafu mahali panapotokea kuwa hakuna uhusiano.

Tekeleza kupitia mzunguko wa maisha, kisha thibitisha

Tekeleza mabadiliko kama huduma kawaida inavyopokea usanidi — iwe faili ya moja kwa moja pamoja na kuwasha upya, au tabaka la usimamizi linalozalisha faili upya. Uhariri wa mkono kwenye faili iliyozalishwa hudumu hadi uzalishaji unaofuata, na si zaidi. Rekodi ni utaratibu upi unaomiliki faili, kwa sababu mwendeshaji anayefuata atahitaji kujua wapi kufanya mabadiliko yaleyale. Kisha washa upya mara moja na usome kumbukumbu kabla ya kumwalika mteja.

systemctl restart openvpn-server@lab
journalctl -u openvpn-server@lab -n 30 --no-pager
# on a fresh client
ip -4 addr show tun0

Unganisha mteja ambaye hakuwahi kuunganishwa hapo awali na uthibitisha kwamba anwani inaanguka ndani ya masafa yaliyotangazwa na nje ya seti iliyohifadhiwa. Kisha uthibitisha njia ya kurudi: mteja anapaswa kufikia kile sera inaruhusu na si zaidi. Anwani inayolingana na mpango lakini haina njia inayofanya kazi si mabadiliko yenye mafanikio.

Unganisha tena mteja aliyekuwa ameshikilia anwani kutoka masafa ya zamani. Anapaswa kupokea anwani kutoka masafa mapya, na hali yoyote ya kiwango cha kikao iliyofungamana na anwani ya zamani inapaswa kuwa imeondoka. Ikiwa anaendelea kushikilia anwani ya zamani, kitu kingine kinampa na bwawa si mmiliki unayefikiri.

Kurudisha nyuma mabadiliko ya masafa

Hifadhi mistari mitatu iliyopita katika rekodi yako ya mabadiliko, si faili iliyopita pekee. Kuirejesha na kuwasha upya hurudisha ugawaji kwenye tabia ya zamani, na wateja wanaounganisha tena baadaye watapokea anwani kutoka humo.

Maonyo mawili ni ya rekodi. Wateja waliounganishwa tayari wakati unarudisha nyuma wanashikilia anwani zao za sasa hadi waunganishe tena, kwa hivyo kurudisha nyuma si mara moja katika meli yote. Na ikiwa masafa ya zamani yalipishana na ugawaji thabiti, kuirejesha hurejesha mgongano pia; mwingiliano huo ndio ulikuwa sababu ya mabadiliko, na unahitaji suluhisho tofauti na kurudisha nyuma.

Mabadiliko ya bwawa yanakamilika wakati mteja mpya anapokea anwani ndani ya masafa, anwani iliyohifadhiwa haitolewi kamwe, na njia na kanuni zinazotumia anwani hizo zinaendelea kujiendesha kama ilivyokusudiwa. Kitu chochote kidogo kinaiachia mtu anayefuata kugundua ni kipi kati ya vitatu si kweli.