OPNsense arkasında statik OpenVPN istemci adresleri

Adların yerinde duran adreslere ihtiyacı var ve OpenVPN havuz dosyası bir adresi yalnızca yapışkan yapar. O dosyayı kaybederseniz ya da sertifikayı farklı bir ortak adla yeniden düzenlerseniz, geri dönen istemci havuzun başka bir yerine düşer ve DNS kaydı hâlâ eski adresi gösterir. Kalıcı yanıt, adresi sabitleyen istemciye özgü bir geçersiz kılma ile sabitlenen adreslerin dinamik aralığın dışında kalmasını sağlayan daha geniş bir tünel ağıdır. Bu genişletmenin arkasındaki aritmetik, karışıklığın büyük bölümünün yaşadığı yerdir.

OPNsense bu geçersiz kılmaları sunucunun istemciye özgü ayarlarında tutar, sertifikanın ortak adıyla anahtarlar ve bu da ortak adı adres planının bir parçası yapar.

Yapışkan bir kiralama statik adres değildir

Havuz dosyası adresten istemciye eşlemeler yazar ve tanınan bir istemci yeniden bağlandığında bunları geri verir. Bu bir kolaylıktır, sözleşme değildir: dosya yeniden üretilebilir, istemcinin kimliği değiştiğinde eşleme kaybolur ve bir havuzu paylaşan iki sunucu bu konuda anlaşamaz. İstemciye özgü geçersiz kılma farklı çalışır, çünkü adres geçmişten değil yapılandırmadan gelir. Üstelik geçersiz kılma yapılandırmanın geri kalanıyla birlikte yedeklendiği sürece yeniden başlatmaya ve cihazın yeniden kurulmasına da dayanır.

Dinamik alternatif, yani VPN’i istemci bağlantı betiği ve dinamik güncellemelerle DNS’e bağlamak çalışır ve güncellemeleri kabul eden bir çözümleyici ile her bağlantıda bir betik gerektirir. Bir cihazda satıcının gönderdiği paketlerle sınırlısınız ve o plan genellikle tam orada durur.

Kimsenin sevmediği /30 aritmetiği

Varsayılan net30 topolojisinde her istemci kendi /30’unu alır: ilk kullanılabilir adres sunucu tarafına, ikincisi istemciye gider. Bu nedenle geçersiz kılmalar sunucunun dinamik tünel ağının dışında olmalıdır, bu da önce o ağın genişletilmesi gerektiği anlamına gelir. 10.8.0.0/24 üzerindeki bir sunucu 10.8.0.0/23’e geçebilir; eski aralığın yarısını dinamik istemcilere, diğer yarısını geçersiz kılmalara bırakır. Her iki yarıya giden trafiğin tünele girmesi için özgün /24’ü ek IPv4 yerel ağı olarak ekleyin.

Her geçersiz kılma adresi bir /30 sınırına denk gelmelidir, yani son oktet dördün katıdır. 10.8.1.0 üzerindeki bir /30 istemciye 10.8.1.2 verir ve DNS kaydının taşıdığı adres budur. Bunun yerine 10.8.1.3 seçmek, bağlanan ama trafik geçiremeyen bir istemci üretir, çünkü adres topolojinin ona hiç atamadığı bir alt ağa aittir.

Geçersiz kılmalar genişletilmiş aralığın üstünden aşağıya doğru tahsis edilirse planı sürdürmek daha kolaydır; böylece dinamik havuz sabit adaların etrafında değil, boş alana doğru genişler.

Yerel ağlar ve istemcilerin sorguladığı bölge

İstemciden istemciye trafik kendi iznine ihtiyaç duyar. Sunucunun IPv4 yerel ağları listesi aralığın her iki yarısını da, dinamik ve statik, içermelidir; bu olmadan sunucu bir istemciden paket kabul eder ve onu diğerine geçirmesine izin veren bir politikası yoktur. Belirti bir DNS arızası gibi okunur, çünkü ad çözümlenir ve bağlantı yine de başarısız olur. İstemciden istemciye ayarını da aynı anda kontrol edin, çünkü tek başına bir yerel ağ girdisi eşler arasında iletmeyi etkinleştirmez.

Kayıtları uzak istemcilerin gerçekten sorguladığı bölgede yayımlayın. Yalnızca LAN çözümleyicisinin hizmet verdiği bir bölgedeki kayıt, itilen çözümleyicisi başka bir yeri gösteren bir istemci için görünmezdir ve yanlış bölgeye daha fazla kayıt eklemek bunu asla düzeltmez. Herhangi bir şey eklemeden önce itilen DNS seçeneğini ve arama alan adını doğrulayın.

Yeni bir bağlantıda neler kontrol edilmeli

İstemciyi yeniden bağlayın ve başka bir şeyi test etmeden önce atanan adresin geçersiz kılmasıyla eşleştiğini doğrulayın. Ardından adı ikinci bir istemciden çözümleyin ve hizmete adıyla bağlanın; bu, DNS kaydını, rotayı ve güvenlik duvarını birlikte sınar. Sunucu tarafında yanıt yolunu doğrulayın, çünkü hizmet ulaşılamaz kalırken adın çözümlenmesi adlandırma değil, yönlendirme veya politika sorunudur. Geçersiz kılma tablosunu sertifika listesinin yanında tutun ki ikisi birlikte gözden geçirilsin.

Farklı bir ortak adla yeniden düzenlenen sertifika, geçersiz kılmasıyla eşleşmeyi bırakır ve istemciyi dinamik havuza geri gönderir. Her kimlik değişikliğinden sonra bunu bekleyin.