OPNsense orqasidagi OpenVPN mijozlarining statik manzillari
pool fayli manzilni yopishqoq qiladi, doimiy emas. Mijoz manzillarini override bilan qadab qo'ying, /30 hisobi uchun tunnel oralig'ini kengaytiring, so'ng ularni e'lon qiling.
Nomlarga qimirlamaydigan manzillar kerak, OpenVPN ning pool fayli esa manzilni faqat yopishqoq qiladi. O'sha faylni yo'qotsangiz yoki sertifikatni boshqa umumiy nom ostida qayta chiqarsangiz, qaytgan mijoz pool ichida boshqa joyga tushadi, uning DNS yozuvi esa hanuz eski manzilga ishora qiladi. Barqaror javob manzilni qadab qo'yadigan mijozga xos override, qo'shimcha kengroq tunnel tarmog'i bilan, qadalgan manzillar dinamik oraliqdan tashqarida turishi uchun. O'sha kengaytirish ortidagi hisob-kitob chalkashlikning ko'p qismi yashaydigan joy.
OPNsense bu override larni serverning mijozga xos sozlamalarida saqlaydi, sertifikatning umumiy nomi bilan kalitlangan, bu umumiy nomni manzil rejasining qismiga aylantiradi.
Yopishqoq ijara statik manzil emas
pool fayli manzil-mijoz mosliklarini yozadi va ma'lum mijoz qayta ulanganda ularni qaytaradi. Bu qulaylik, shartnoma emas: faylni qayta yaratish mumkin, mijozning shaxsi o'zgarganda moslik yo'qoladi, bitta pool ni bo'lishadigan ikki server bu borada kelishmaydi. Mijozga xos override boshqacha ishlaydi, chunki manzil tarixdan emas, konfiguratsiyadan keladi. U qurilmaning qayta ishga tushirilishi va qayta o'rnatilishiga ham bardosh beradi, agar override qolgan konfiguratsiya bilan birga zaxiralangan bo'lsa.
Dinamik muqobil, ya'ni VPN ni client-connect skripti va dinamik yangilanishlar bilan DNS ga ulash, ishlaydi va yangilanishlarni qabul qiladigan resolver, qo'shimcha har bir ulanishda skript talab qiladi. Qurilmada siz sotuvchi yetkazib beradigan paketlar bilan cheklanasiz, va odatda o'sha yerda bu reja to'xtaydi.
Hech kim yoqtirmaydigan /30 hisobi
Odatiy net30 topologiyasida har bir mijoz o'zining /30 ini oladi: birinchi foydalanish mumkin manzil server tomoniga, ikkinchisi mijozga ketadi. Shuning uchun override lar serverning dinamik tunnel tarmog'idan tashqarida bo'lishi kerak, bu esa avval o'sha tarmoqni kengaytirishni bildiradi. 10.8.0.0/24 dagi server 10.8.0.0/23 ga o'tishi mumkin, eski oraliqning yarmini dinamik mijozlarga, ikkinchi yarmini override larga qoldirib. Asl /24 ni qo'shimcha IPv4 mahalliy tarmoq sifatida qo'shing, ikki yarmiga ham trafik tunnelga yo'naltirilishi uchun.
Har bir override manzili /30 chegarasiga tushishi kerak, shuning uchun oxirgi oktet to'rtning karralisi. 10.8.1.0 dagi /30 mijozga 10.8.1.2 beradi, va DNS yozuvi olib yurgan manzil o'sha. Buning o'rniga 10.8.1.3 ni tanlash ulanadigan, lekin trafikni o'tkaza olmaydigan mijoz hosil qiladi, chunki manzil topologiya unga hech qachon bermagan quyi tarmoqqa tegishli.
Rejani saqlash osonroq bo'ladi, agar override lar kengaytirilgan oraliqning yuqorisidan pastga taqsimlansa, shunda dinamik pool qotirilgan orollar atrofida emas, bo'sh joyga kengayadi.
Mahalliy tarmoqlar va mijozlar so'raydigan zona
Mijozdan mijozga trafik o'z ruxsatini talab qiladi. Serverning IPv4 mahalliy tarmoqlar ro'yxati oraliqning ikki yarmini ham o'z ichiga olishi kerak, dinamik va statik; usiz server bir mijozdan paketni qabul qiladi, lekin uni boshqasiga o'tkazishga ruxsat beruvchi siyosati yo'q. Alomat DNS nosozligidek ko'rinadi, chunki nom hal bo'ladi, ulanish esa baribir muvaffaqiyatsiz tugaydi. Shu bilan birga mijozdan mijozga sozlamasini ham tekshiring, chunki faqat mahalliy tarmoq yozuvi tengdoshlar orasida yo'naltirishni yoqmaydi.
Yozuvlarni uzoq mijozlar haqiqatan so'raydigan zonada e'lon qiling. Faqat LAN resolver xizmat qiladigan zonadagi yozuv itarib yuborilgan resolver boshqa joyga ishora qiladigan mijozga ko'rinmaydi, va noto'g'ri zonaga ko'proq yozuv qo'shish buni hech qachon tuzatmaydi. Biror narsa qo'shishdan oldin itarib yuborilgan DNS varianti va qidiruv domenini tasdiqlang.
Yangi ulanishda nimalarni tekshirish kerak
Mijozni qayta ulang va boshqa narsani sinashdan oldin berilgan manzil uning override iga mos kelishini tasdiqlang. So'ng nomni ikkinchi mijozdan hal qiling va nom bilan xizmatga ulang, bu DNS yozuvi, marshrut va tarmoq devorini birga sinaydi. Server tomonida javob yo'lini tasdiqlang, chunki nom hal bo'lib, xizmat yetib bormasa, bu nomlash emas, marshrutlash yoki siyosat muammosi. override jadvalini sertifikatlar ro'yxati yonida saqlang, ikkalasi birga ko'rib chiqilishi uchun.
Boshqa umumiy nom ostida qayta chiqarilgan sertifikat o'z override iga mos kelishni to'xtatadi va mijozni dinamik pool ga qaytaradi. Har qanday shaxs o'zgarishidan keyin buni kuting.