ที่อยู่ OpenVPN แบบคงที่ควรตามตัวตน ไม่ใช่ IP ต้นทาง

แผนที่อยู่ซึ่งเขียนว่า 'แล็ปท็อปเครื่องนี้ได้ 10.90.0.10' จริง ๆ แล้วเป็นข้อความเกี่ยวกับตัวตน: อุปกรณ์ที่ผ่านการยืนยันตัวตนตัวใดมีสิทธิ์ถือที่อยู่ดังกล่าว IP สาธารณะปัจจุบันของอุปกรณ์นั้นแทบไม่เกี่ยวกับเรื่องนี้เลย เพราะ NAT และการ roaming เปลี่ยนมันโดยไม่เปลี่ยนว่าผู้ใช้เป็นใคร การสร้างแผนบนที่อยู่ต้นทางทำให้ได้กฎที่พังตั้งแต่เครือข่ายโรงแรมแรก การสร้างแผนบนตัวตนที่ผ่านการยืนยันตัวตนทำให้ได้แผนที่ทนต่อการเดินทาง

เริ่มจากสิ่งที่เซิร์ฟเวอร์ตรวจสอบได้ แล้วจึงตัดสินใจว่าที่อยู่นั้นมีไว้เพื่ออะไร

เลือกคีย์ระบุตัวตนก่อนที่อยู่

ใบรับรองไคลเอนต์แยกต่างหากต่ออุปกรณ์หนึ่งเครื่องให้คีย์ที่เสถียรและตรวจสอบได้แก่เซิร์ฟเวอร์สำหรับสมาชิกแต่ละราย ซึ่งเป็นพื้นฐานที่สะอาดที่สุดสำหรับการมอบหมายแบบคงที่ การติดตั้งที่ใช้การยืนยันตัวตนรายผู้ใช้สามารถใช้ชื่อผู้ใช้เป็นคีย์แทนได้ ตราบใดที่การเลือกการกำหนดค่ายังตามฟิลด์เดียวกัน การผสมสองแบบจำลองนี้ทำให้ได้การมอบหมายที่จับคู่ใบรับรองของไคลเอนต์หนึ่งกับชื่อผู้ใช้ของอีกไคลเอนต์หนึ่ง และไม่มีใครคาดเดาได้ว่าอันไหนจะชนะ ตัดสินใจว่าแผนจะใช้คีย์ใดก่อนเขียนรายการจองแม้แต่รายการเดียว

เมื่อใช้ duplicate-cn เซสชันพร้อมกันหลายเซสชันสามารถแสดงชื่อสามัญเดียวกันได้ ดังนั้นที่อยู่ที่ตรึงไว้หนึ่งที่อยู่จึงระบุตัวแต่ละเซสชันไม่ได้ นั่นเป็นคุณสมบัติของแบบจำลองตัวตน ไม่ใช่สิ่งที่แผนที่อยู่ที่ดีขึ้นจะแก้ได้

จองที่อยู่ไว้นอกช่วงไดนามิก

ในเครือข่ายแบบ subnet topology เช่น 10.90.0.0/24 ให้เก็บที่อยู่ต่ำไว้สำหรับสมาชิกที่ระบุชื่อ และวางพูลไดนามิกไว้ในช่วงที่ไม่ทับซ้อน การมอบหมายสำหรับสมาชิกที่ตรึงไว้มีลักษณะเช่น ifconfig-push 10.90.0.10 255.255.255.0 ในไฟล์ที่เซิร์ฟเวอร์เลือกสำหรับตัวตนนั้น อาร์กิวเมนต์ที่สองมีความหมายต่างออกไปภายใต้ net30 ตัวอย่างนี้จึงไม่ได้เป็นกลางต่อ topology อ่าน topology ก่อนคัดลอกมัน

การคงอยู่ของพูลบันทึกสัญญาเช่าล่าสุด และมักคืนที่อยู่เดิมให้ ซึ่งเป็นความสะดวกมากกว่าการจอง อย่าปล่อยให้ไฟล์คงอยู่กลายเป็นบันทึกความเป็นเจ้าของ เพราะมันเปลี่ยนตามประวัติการเชื่อมต่อไม่ใช่นโยบาย

ลำดับความสำคัญของการมอบหมายตัดสินว่าใครชนะ

คู่มือระบุลำดับไว้: การมอบหมายที่ชัดเจนซึ่งสร้างขึ้นระหว่าง client-connect มีผลก่อนรายการใน client-config-dir ซึ่งนำหน้าการจัดสรรจากพูลตามปกติ ลำดับนั้นอธิบายรายงาน 'ที่อยู่ที่ตรึงไว้ไม่ถูกนำไปใช้' ส่วนใหญ่ ยังหมายความว่าตัวจัดสรรไดนามิกที่เขียนการกำหนดค่าต่อเซสชันสามารถเขียนทับไฟล์คงที่ที่คุณคิดว่าเป็นแหล่งอ้างอิงได้อย่างเงียบ ๆ

เลือกชั้นเดียวเป็นเจ้าของการมอบหมาย และทำให้ชั้นอื่นเป็นแบบอ่านอย่างเดียว สองชั้นที่ต่างอ้างว่าตัดสินใจเองทำให้ได้การมอบหมายที่ขึ้นกับจังหวะเวลา

ตัวจัดสรรไดนามิกต้องการแบบจำลองเดียวกัน

การเชื่อมต่อ client-connect ที่แจกที่อยู่ต่อเซสชัน เป็นตัวจัดสรรขนาดเล็กที่มีปัญหาปกติของตัวจัดสรร มันต้องตรวจสอบตัวตนผู้ขอ จองที่อยู่แบบอะตอมมิก ส่งออกเฉพาะเอาต์พุตต่อการเชื่อมต่อที่รองรับ และปล่อยการจองเมื่อตัดการเชื่อมต่อหรือล้มเหลว คำขอที่เกิดขึ้นพร้อมกันต้องใช้ล็อกหรือข้อจำกัดของฐานข้อมูล ไม่ใช่ลำดับการอ่านแล้วเขียน หากไม่มีการเก็บกวาด พูลจะรั่วที่อยู่ไปจนกว่าจะรีสตาร์ท

เก็บสถานะของตัวจัดสรรไว้ในที่ที่ผู้ดูแลคนถัดไปอ่านได้ และบันทึกการตัดสินใจเรื่องตัวตนไปยังที่อยู่ ไม่ใช่แค่ที่อยู่

ตัดสินใจว่าที่อยู่เป็นนโยบายหรือความสะดวก

หากกฎไฟร์วอลล์หรือเส้นทางอนุญาตทราฟฟิกจากที่อยู่ในอุโมงค์หนึ่ง ที่อยู่นั้นก็มีส่วนในนโยบายการเข้าถึง และการมอบหมายใหม่จะสืบทอดสิทธิ์นั้น ประสานวงจรชีวิตของตัวตน ที่อยู่ และไฟร์วอลล์เข้าด้วยกัน หรือผูกกฎกับสิ่งที่มอบหมายใหม่ไม่ได้ ที่อยู่ที่เสถียรทำให้การกำหนดค่าอ่านง่ายขึ้น แต่ไม่ได้แทนที่การยืนยันตัวตน

เขียนแผนเป็นบัญชีรายการที่มีผู้รับผิดชอบต่อรายการ แล้วทบทวนเมื่อเลิกใช้งานอุปกรณ์ รายการจองที่ไม่ได้ใช้คือรายการที่ถูกนำกลับมาใช้โดยอุบัติเหตุ