Địa chỉ máy khách OpenVPN tĩnh phía sau OPNsense

Tên cần những địa chỉ không di chuyển, và tệp pool của OpenVPN chỉ làm cho một địa chỉ trở nên dính. Mất tệp đó, hoặc phát hành lại chứng chỉ dưới một tên chung khác, máy khách quay lại sẽ hạ cánh ở nơi khác trong pool trong khi bản ghi DNS của nó vẫn trỏ đến địa chỉ cũ. Câu trả lời bền vững là một ghi đè riêng cho máy khách để ghim địa chỉ, cùng với một mạng tunnel rộng hơn để các địa chỉ được ghim nằm ngoài dải động. Phép số học đằng sau việc mở rộng đó là nơi chứa phần lớn sự nhầm lẫn.

OPNsense giữ những ghi đè đó trong cài đặt riêng cho máy khách của máy chủ, được khóa theo tên chung của chứng chỉ, điều này khiến tên chung trở thành một phần của kế hoạch địa chỉ.

Một hợp đồng thuê dính không phải là địa chỉ tĩnh

Tệp pool ghi các ánh xạ địa chỉ sang máy khách và trả lại chúng khi một máy khách đã biết kết nối lại. Đó là sự tiện lợi, không phải hợp đồng: tệp có thể được tạo lại, ánh xạ biến mất khi danh tính của máy khách thay đổi, và hai máy chủ dùng chung một pool sẽ không đồng ý về nó. Ghi đè riêng cho máy khách hoạt động khác, vì địa chỉ đến từ cấu hình chứ không phải từ lịch sử. Nó cũng sống sót qua khởi động lại và cài đặt lại thiết bị, miễn là ghi đè được sao lưu cùng phần còn lại của cấu hình.

Giải pháp thay thế động, nối VPN vào DNS bằng một script kết nối máy khách và cập nhật động, có hoạt động và đòi hỏi một bộ phân giải chấp nhận cập nhật cùng một script ở mỗi lần kết nối. Trên một thiết bị, bạn bị giới hạn ở các gói mà nhà cung cấp gửi, và thường thì kế hoạch đó dừng lại ở đó.

Số học /30 mà không ai thích

Theo cấu trúc liên kết net30 mặc định, mỗi máy khách nhận /30 của riêng mình: địa chỉ khả dụng đầu tiên thuộc về phía máy chủ, địa chỉ thứ hai thuộc về máy khách. Do đó các ghi đè phải nằm ngoài mạng tunnel động của máy chủ, nghĩa là trước tiên phải mở rộng mạng đó. Một máy chủ trên 10.8.0.0/24 có thể chuyển sang 10.8.0.0/23, để lại một nửa dải cũ cho máy khách động và nửa còn lại cho các ghi đè. Thêm /24 gốc làm mạng IPv4 cục bộ bổ sung để lưu lượng đến cả hai nửa đi vào tunnel.

Mỗi địa chỉ ghi đè phải rơi vào ranh giới /30, nên octet cuối cùng là bội số của bốn. Một /30 tại 10.8.1.0 cho máy khách 10.8.1.2, và đó là địa chỉ mà bản ghi DNS mang theo. Chọn 10.8.1.3 thay vào đó tạo ra một máy khách kết nối được mà không truyền được lưu lượng, vì địa chỉ thuộc về một mạng con mà cấu trúc liên kết chưa bao giờ gán cho nó.

Kế hoạch dễ duy trì hơn nếu các ghi đè được cấp phát từ đỉnh của dải đã mở rộng xuống dưới, để pool động mở rộng vào không gian trống thay vì vòng quanh những hòn đảo cố định.

Mạng cục bộ và vùng mà máy khách truy vấn

Lưu lượng máy khách đến máy khách cần quyền riêng của nó. Danh sách mạng IPv4 cục bộ của máy chủ phải bao gồm cả hai nửa của dải, động và tĩnh; nếu không có, máy chủ chấp nhận một gói từ máy khách này và không có chính sách nào cho phép nó đi qua máy khách khác. Triệu chứng đọc như một lỗi DNS, vì tên phân giải được mà kết nối vẫn thất bại. Kiểm tra cài đặt máy khách đến máy khách cùng lúc, vì chỉ một mục mạng cục bộ không kích hoạt chuyển tiếp giữa các máy ngang hàng.

Xuất bản các bản ghi trong vùng mà máy khách từ xa thực sự truy vấn. Một bản ghi trong vùng chỉ được bộ phân giải LAN phục vụ là vô hình đối với máy khách có bộ phân giải được đẩy trỏ đến nơi khác, và việc thêm nhiều bản ghi hơn vào vùng sai sẽ không bao giờ sửa được điều đó. Xác nhận tùy chọn DNS được đẩy và miền tìm kiếm trước khi thêm bất cứ thứ gì.

Cần kiểm tra gì trên một kết nối mới

Kết nối lại máy khách và xác nhận địa chỉ được gán khớp với ghi đè của nó trước khi thử bất cứ điều gì khác. Sau đó phân giải tên từ máy khách thứ hai và kết nối với dịch vụ bằng tên, thao tác này kiểm tra đồng thời bản ghi DNS, tuyến đường và tường lửa. Xác nhận đường phản hồi ở phía máy chủ, vì một tên phân giải được trong khi dịch vụ vẫn không thể truy cập là vấn đề định tuyến hoặc chính sách, không phải vấn đề đặt tên. Giữ bảng ghi đè bên cạnh danh sách chứng chỉ để cả hai được xem xét cùng nhau.

Một chứng chỉ được phát hành lại dưới một tên chung khác sẽ không còn khớp với ghi đè của nó và đưa máy khách trở lại pool động. Hãy mong đợi điều đó sau mọi thay đổi danh tính.