IP tĩnh OpenVPN cho từng máy khách: ifconfig-push, không phải ipp.txt

Sửa một dòng trong ipp.txt có cảm giác như đặt trước một địa chỉ, nhưng không phải vậy. Tệp đó, được đặt tên bởi ifconfig-pool-persist, ghi lại địa chỉ mà một tên chung đã có lần trước để nhóm có thể trả lại cùng địa chỉ khi thuận tiện. Không có gì trong đó ràng buộc kết nối tiếp theo với con số đó.

Thực hiện các kiểm tra bên dưới theo thứ tự. Mỗi kiểm tra hoặc xác nhận cơ chế hoặc bảo bạn dừng lại và sửa một đầu vào.

Tệp lưu trữ dùng để làm gì

Tệp tồn tại để giữ địa chỉ ổn định giữa các lần khởi động lại, điều này làm cho việc kết nối lại thân thiện hơn và nhật ký dễ đọc hơn. Nó được đọc như lịch sử và được ghi như lịch sử, và đường phân bổ vẫn tự do chọn địa chỉ khác khi gợi ý không phù hợp: nhóm khác, phân bổ xung đột hoặc máy khách đến sau khi nhóm đã đầy. Vì vậy một chỉnh sửa thủ công có thể trông hoàn hảo trong tệp mà không thay đổi gì trên kết nối. Hãy coi nó như bộ nhớ đệm của các quyết định trước đây, không phải nguồn chính sách.

Nếu bạn cần một địa chỉ cụ thể cho một máy khách cụ thể, cơ chế được ghi lại là ifconfig-push, và nó thuộc cấu hình sở hữu máy khách đó.

Kiểm tra rằng đã chọn đúng máy khách

Phân bổ rõ ràng được tra theo tên chung của máy khách, vì vậy một tệp được đặt tên cho danh tính sai sẽ không bao giờ được đọc. Xác nhận máy chủ coi tên của máy khách đó là gì, đặc biệt ở nơi username-as-common-name thay đổi nó sau khi xác thực. Sau đó xác nhận tên tệp khớp chính xác với giá trị đó, bao gồm cả chữ hoa và chữ thường.

Hãy xem xét tính đồng thời khi bạn ở đây. Nếu duplicate-cn được phép, nhiều thiết bị có thể trình bày cùng một danh tính, và một địa chỉ cố định không thể là duy nhất cho tất cả chúng. Quyết định xem địa chỉ cố định có đáng để từ chối các phiên đồng thời cho danh tính đó hay không, vì hai yêu cầu đó không thể được đáp ứng cùng lúc.

Kiểm tra rằng các con số khớp với cấu trúc liên kết

Ý nghĩa của các đối số phụ thuộc vào cấu trúc liên kết của đường hầm, và đây là nơi một ví dụ sao chép gây thiệt hại nhiều nhất. Trong cách bố trí net30 cũ hơn, mỗi máy khách chiếm một khối bốn địa chỉ, nên push cung cấp một cặp địa chỉ. Trong cấu trúc liên kết mạng con, máy khách nhận một địa chỉ cộng với mặt nạ của nhóm, và dạng cặp là sai. Đọc cấu trúc liên kết từ cấu hình đang chạy trước khi viết dòng.

# /etc/openvpn/ccd/partner-a   (subnet topology)
ifconfig-push 10.44.0.61 255.255.255.0

Kiểm tra địa chỉ với mọi thứ khác có thể sở hữu nó: một phân bổ rõ ràng khác, dải nhóm động và bất kỳ tuyến tĩnh nào giả định một máy chủ cố định. Một địa chỉ chồng lấn với nhóm sẽ hoạt động cho đến khi nhóm trao nó cho người khác, và sự cố đó sẽ trông ngẫu nhiên.

Kiểm tra kết quả trên kết nối mới

Phiên hiện có giữ địa chỉ được cấp, vì vậy thử nghiệm có ý nghĩa duy nhất là kết nối mới. Ngắt kết nối máy khách, kết nối lại và đọc địa chỉ mà nó thực sự nhận được cùng với các tuyến đi kèm. Nếu địa chỉ vẫn động, phân bổ chưa được áp dụng, và bước tiếp theo là tra cứu trong cấu hình chứ không phải một chỉnh sửa khác trong tệp lịch sử.

Giữ bằng chứng cùng nhau: tên máy khách, tệp khớp, địa chỉ được phân bổ và nhóm mà nó đến từ.

Cuối cùng, địa chỉ đường hầm cố định không phải là thông tin xác thực của thiết bị. Nó đánh dấu một vị trí trong quy hoạch địa chỉ, trong khi xác thực vẫn dựa trên chứng chỉ và tài khoản. Nhầm lẫn hai điều này biến xung đột địa chỉ thành một giả định bảo mật mà không ai viết ra.