Barqaror OpenVPN manzillari manba IP emas, identifikatsiyaga ergashishi kerak
Statik manzil manba IP haqida emas, identifikatsiya haqidagi bayonotdir. Avval kalitni tanlang, rezervatsiyalarni pooldan tashqarida saqlang, keyin tayinlash egasini tanlang.
«Bu noutbuk 10.90.0.10 oladi» deydigan manzil rejalari aslida identifikatsiya haqidagi bayonotlardir: qaysi autentifikatsiya qilingan qurilma bu manzilga ega bo'lishi mumkin. Bu qurilmaning joriy ommaviy IP manzilining bunga deyarli aloqasi yo'q, chunki NAT va rouming uni foydalanuvchining kimligini o'zgartirmasdan o'zgartiradi. Rejani manba manzilga qurish birinchi mehmonxona tarmog'ida buziladigan qoidalar hosil qiladi. Uni autentifikatsiya qilingan identifikatsiyaga qurish sayohatga chidaydigan reja hosil qiladi.
Server tekshira oladigan narsadan boshlang, keyin manzil nima uchun ekanini hal qiling.
Identifikatsiya kalitini manzildan oldin tanlang
Har bir qurilma uchun alohida klient sertifikati serverga har bir a'zo uchun barqaror va tekshiriladigan kalit beradi, bu esa statik tayinlash uchun eng toza asosdir. Har bir foydalanuvchi autentifikatsiyasidan foydalanadigan joylashtirish o'rniga foydalanuvchi nomini kalit qilib olishi mumkin, faqat konfiguratsiya tanlovi o'sha maydonga ergashsa. Ikki modelni aralashtirish bir klient uchun sertifikatga va boshqasi uchun foydalanuvchi nomiga mos keladigan tayinlashlar hosil qiladi va hech kim qaysi biri g'alaba qozonishini oldindan aytolmaydi. Bitta rezervatsiya yozishdan oldin reja qaysi kalitdan foydalanishini hal qiling.
duplicate-cn bilan bir vaqtda bir necha sessiya bir xil umumiy nomni taqdim etishi mumkin, shuning uchun bitta qotirilgan manzil ularni alohida aniqlay olmaydi. Bu identifikatsiya modelining xossasidir, yaxshiroq manzil rejasi tuzata oladigan narsa emas.
Manzillarni dinamik diapazondan tashqarida zahiralang
10.90.0.0/24 kabi subnet topologiyali tarmoqda past manzillarni nomlangan a'zolar uchun saqlang va dinamik poolni alohida diapazonga joylashtiring. Qotirilgan a'zo uchun tayinlash server o'sha identifikatsiya uchun tanlagan faylda ifconfig-push 10.90.0.10 255.255.255.0 kabi ko'rinadi. Ikkinchi argument net30 ostida boshqa ma'no bildiradi, shuning uchun misol topologiyaga nisbatan neytral emas. Uni ko'chirishdan oldin topologiyani o'qing.
Pool bardoshliligi oxirgi ijaralarni qayd etadi va odatda o'sha manzilni qaytarib beradi, bu rezervatsiya emas, qulaylikdir. Bardoshlilik fayli egalik qaydi bo'lib qolishiga yo'l qo'ymang, chunki u siyosat bilan emas, ulanish tarixi bilan o'zgaradi.
Tayinlash ustuvorligi kim g'alaba qozonishini hal qiladi
Qo'llanma tartibni hujjatlashtiradi: client-connect paytida yaratilgan aniq tayinlash client-config-dir yozuvidan oldin kuchga kirishi mumkin, u esa o'z navbatida oddiy pool taqsimotidan oldin keladi. Bu tartib «qotirilgan manzil qo'llanmadi» haqidagi xabarlarning ko'pini tushuntiradi. Bu shuningdek, har bir sessiya uchun konfiguratsiya yozadigan dinamik taqsimlagich siz ishonchli deb hisoblagan statik faylni jimgina bekor qilishi mumkinligini bildiradi.
Tayinlashlarga ega bo'ladigan bitta qatlamni tanlang va qolganlarini faqat o'qish uchun qiling. Ikkalasi ham qaror qilishga da'vo qiladigan ikki qatlam vaqtga bog'liq tayinlashlar hosil qiladi.
Dinamik taqsimlagichga ham xuddi shu model kerak
Har bir sessiya uchun manzil beradigan client-connect integratsiyasi taqsimlagichning odatdagi muammolariga ega kichik taqsimlagichdir. U so'rov yuboruvchi identifikatsiyani tekshirishi, manzilni atomar zahiralashi, faqat qo'llab-quvvatlanadigan har bir ulanish chiqishini chiqarishi va uzilish yoki nosozlikda rezervatsiyani bo'shatishi kerak. Bir vaqtdagi so'rovlar o'qish-keyin-yozish ketma-ketligini emas, qulf yoki ma'lumotlar bazasi cheklovini talab qiladi. Tozalashsiz pool qayta ishga tushirilgunga qadar manzillarni yo'qotadi.
Taqsimlagich holatini keyingi operator o'qiy oladigan joyda saqlang va faqat manzilni emas, identifikatsiyadan manzilga qadar qarorni jurnalga yozing.
Manzil siyosatmi yoki qulaylikmi — hal qiling
Agar tarmoq devori qoidasi yoki marshrut bitta tunnel manzilidan trafikni ruxsat qilsa, u holda manzil kirish siyosatida qatnashadi va qayta tayinlash o'sha ruxsatni meros oladi. Identifikatsiya, manzil va tarmoq devori hayot siklini muvofiqlashtiring yoki qoidani qayta tayinlab bo'lmaydigan narsaga bog'lang. Barqaror manzillash konfiguratsiyani o'qishli qiladi; u autentifikatsiya o'rnini bosmaydi.
Rejani har bir yozuv egasiga ega inventar sifatida yozing, keyin qurilma iste'foga chiqarilganda uni ko'rib chiqing. Foydalanilmagan rezervatsiya tasodifan qayta ishlatiladigani hisoblanadi.