OpenVPN'da har bir mijoz uchun statik IP: ifconfig-push, ipp.txt emas

ipp.txt faylidagi satrni tahrirlash manzilni band qilish kabi tuyuladi, lekin unday emas. ifconfig-pool-persist tomonidan nomlangan bu fayl umumiy nom oxirgi marta qaysi manzilga ega bo'lganini yozib qo'yadi, shunda hovuz qulay bo'lganda o'sha manzilni qaytarishi mumkin. Unda hech narsa keyingi ulanishni bu raqamga bog'lamaydi.

Quyidagi tekshiruvlarni tartib bilan bajaring. Har biri yo mexanizmni tasdiqlaydi, yo to'xtab kirishni tuzatishni aytadi.

Barqarorlik fayli nima uchun

Fayl qayta ishga tushirishlar orasida manzillar barqaror qolishi uchun mavjud, bu esa qayta ulanishni oson va jurnallarni o'qishni qulay qiladi. U tarix sifatida o'qiladi va tarix sifatida yoziladi, taqsimlash yo'li esa ko'rsatma to'g'ri kelmasa boshqa manzilni tanlashda erkin qoladi: boshqa hovuz, ziddiyatli taqsimot yoki hovuz to'lganidan keyin kelgan mijoz. Shuning uchun qo'lda tahrir faylda mukammal ko'rinishi va ulanishda hech narsani o'zgartirmasligi mumkin. Unga siyosat manbai emas, o'tmish qarorlarining keshi sifatida qarang.

Agar aniq bir mijoz uchun aniq manzil kerak bo'lsa, hujjatlashtirilgan mexanizm ifconfig-push bo'lib, u o'sha mijozga tegishli konfiguratsiyada bo'ladi.

To'g'ri mijoz tanlanganini tekshiring

Aniq taqsimot mijozning umumiy nomi bo'yicha qidiriladi, shuning uchun noto'g'ri shaxs uchun nomlangan fayl hech qachon o'qilmaydi. Server o'sha mijozning nomi deb nimani hisoblashini tasdiqlang, ayniqsa username-as-common-name uni autentifikatsiyadan keyin o'zgartiradigan joyda. So'ng fayl nomi o'sha qiymatga to'liq mos kelishini, harflarning katta-kichikligi bilan birga tasdiqlang.

Shu yerda bo'lganingizda parallellikni ham o'ylab ko'ring. Agar duplicate-cn ruxsat etilgan bo'lsa, bir nechta qurilma bir xil shaxsni taqdim etishi mumkin va bitta qat'iy manzil ularning barchasi uchun noyob bo'la olmaydi. Qat'iy manzil uchun o'sha shaxsning parallel sessiyalaridan voz kechish arziydimi, shuni hal qiling, chunki bu ikki talabni bir vaqtda qondirib bo'lmaydi.

Raqamlar topologiyaga mos kelishini tekshiring

Argumentlarning ma'nosi tunnel topologiyasiga bog'liq va ko'chirilgan misol eng katta zararni aynan shu yerda yetkazadi. Eski net30 tartibida har bir mijoz to'rt manzildan iborat blokni egallaydi, shuning uchun push bir juft manzil beradi. Subnet topologiyasida mijoz bitta manzil va hovuzning maskasini oladi, juftlik shakli esa noto'g'ri. Satrni yozishdan oldin topologiyani ishlab turgan konfiguratsiyadan o'qing.

# /etc/openvpn/ccd/partner-a   (subnet topology)
ifconfig-push 10.44.0.61 255.255.255.0

Manzilni unga egalik qilishi mumkin bo'lgan hamma narsaga qarshi tekshiring: boshqa aniq taqsimot, dinamik hovuz diapazoni va qat'iy hostni nazarda tutadigan har qanday statik marshrut. Hovuz bilan kesishadigan manzil hovuz uni boshqasiga bermaguncha ishlaydi va bu nosozlik tasodifiy ko'rinadi.

Natijani yangi ulanishda tekshiring

Mavjud sessiya o'ziga berilgan manzilni saqlaydi, shuning uchun yagona mazmunli sinov yangi ulanishdir. Mijozni uzib, qayta ulang va u haqiqatda olgan manzilni u bilan kelgan marshrutlar bilan birga o'qing. Agar manzil hali ham dinamik bo'lsa, taqsimot qo'llanilmagan va keyingi qadam tarix faylini yana tahrirlash emas, konfiguratsiyadan qidirishdir.

Dalillarni birga saqlang: mijoz nomi, mos kelgan fayl, taqsimlangan manzil va u kelgan hovuz.

Nihoyat, qat'iy tunnel manzili qurilmaning ishonch ma'lumoti emas. U manzil rejasidagi joyni belgilaydi, autentifikatsiya esa hali ham sertifikat va hisobga tayanadi. Ikkalasini chalkashtirish manzil to'qnashuvini hech kim yozmagan xavfsizlik taxminiga aylantiradi.