Статичні адреси клієнтів OpenVPN за OPNsense

Іменам потрібні адреси, які не рухаються, а файл пулу OpenVPN робить адресу лише липкою. Втратьте цей файл або перевипустіть сертифікат під іншим спільним іменем, і клієнт, що повертається, опиниться в іншому місці пулу, поки його запис DNS усе ще вказує на стару адресу. Довговічна відповідь — перевизначення для конкретного клієнта, яке закріплює адресу, плюс ширша мережа тунелю, щоб закріплені адреси були поза динамічним діапазоном. Арифметика за цим розширенням і є тим місцем, де живе більшість плутанини.

OPNsense зберігає ці перевизначення в налаштуваннях сервера, специфічних для клієнта, з ключем за спільним іменем сертифіката, що робить спільне ім'я частиною плану адрес.

Липка оренда не є статичною адресою

Файл пулу записує відповідності адреса-клієнт і повертає їх, коли відомий клієнт підключається знову. Це зручність, а не договір: файл можна перегенерувати, відповідність зникає, коли змінюється особа клієнта, а два сервери, що ділять один пул, не домовляться про нього. Перевизначення для конкретного клієнта працює інакше, бо адреса береться з конфігурації, а не з історії. Воно також переживає перезапуск і перевстановлення пристрою, якщо перевизначення збережено в резервній копії разом з рештою конфігурації.

Динамічна альтернатива, а саме зв'язати VPN з DNS через скрипт client-connect і динамічні оновлення, працює і вимагає резолвера, що приймає оновлення, плюс скрипт під час кожного підключення. На пристрої ви обмежені пакетами, які постачає виробник, і зазвичай саме там цей план зупиняється.

Арифметика /30, якій ніхто не радіє

У типовій топології net30 кожен клієнт отримує власну /30: перша придатна адреса дістається стороні сервера, друга клієнтові. Тому перевизначення мають бути поза динамічною мережею тунелю сервера, а це означає спершу розширити цю мережу. Сервер на 10.8.0.0/24 може перейти на 10.8.0.0/23, залишивши половину старого діапазону динамічним клієнтам, а другу половину перевизначенням. Додайте початкову /24 як додаткову локальну мережу IPv4, щоб трафік до обох половин ішов у тунель.

Кожна адреса перевизначення має потрапляти на межу /30, тому останній октет кратний чотирьом. /30 на 10.8.1.0 дає клієнтові 10.8.1.2, і саме цю адресу несе запис DNS. Вибір 10.8.1.3 замість нього дає клієнта, який підключається і не може пропускати трафік, бо адреса належить підмережі, яку топологія йому ніколи не призначала.

План простіше тримати, якщо перевизначення виділяються згори розширеного діапазону вниз, так що динамічний пул розширюється у вільний простір, а не навколо фіксованих островів.

Локальні мережі та зона, яку опитують клієнти

Трафіку між клієнтами потрібен власний дозвіл. Список локальних мереж IPv4 сервера має включати обидві половини діапазону, динамічну і статичну; без нього сервер приймає пакет від одного клієнта і не має політики, яка дозволяє пропустити його до іншого. Симптом виглядає як збій DNS, бо ім'я розв'язується, а з'єднання все одно не проходить. Перевірте одночасно й налаштування зв'язку між клієнтами, оскільки один запис локальної мережі сам по собі не вмикає пересилання між вузлами.

Публікуйте записи в тій зоні, яку віддалені клієнти справді опитують. Запис у зоні, яку обслуговує лише резолвер LAN, невидимий клієнтові, чий проштовхнутий резолвер вказує в інше місце, і додавання нових записів у неправильну зону цього ніколи не виправить. Перш ніж щось додавати, підтвердьте проштовхнуту опцію DNS і домен пошуку.

Що перевірити при новому підключенні

Перепідключіть клієнта і переконайтеся, що видана адреса збігається з його перевизначенням, перш ніж перевіряти щось інше. Потім розв'яжіть ім'я з другого клієнта і підключіться до служби за іменем, що перевіряє запис DNS, маршрут і міжмережевий екран разом. Підтвердьте зворотний шлях на боці сервера, бо ім'я, що розв'язується, поки служба залишається недосяжною, це проблема маршрутизації або політики, а не іменування. Тримайте таблицю перевизначень поруч зі списком сертифікатів, щоб обидві перевірялися разом.

Сертифікат, перевипущений під іншим спільним іменем, перестає збігатися зі своїм перевизначенням і повертає клієнта в динамічний пул. Очікуйте цього після будь-якої зміни особи.