Dotaz: Staticke IP (VPN)

[jany2]

Co sa tika statickeho pridelovania IP adries konkretnym klientom, tak by to mala mat na starosti directiva

client-config-dir ccd

a zda sa, ze to aj funguje, ale nie celkom presne tomu rozumiem. Dajme tomu, ze chcem mat klienta z nazvom client17 a chcem aby mu ovpn server prideloval adresu 10.8.0.17. Takze postup je taky

nano /etc/openvpn/ccd/client17

a zapis do suboru

ifconfig-push 10.8.0.17 10.8.0.18

kde prve cislo je IP klienta a druhe serverova cast tunelu. Teraz ked budem chciet pridelit pre client18 IP 10.8.0.18, tak to bude takto?

nano /etc/openvpn/ccd/client18

a zapis do suboru

ifconfig-push 10.8.0.18 10.8.0.19

kde prve cislo je IP klienta a druhe serverova cast tunelu?
Nebude problem v tom, ze IP 10.8.0.18 je u prveho serverova cast tunelu a druheho je IP klienta ?
Alebo akym sposobom to vyriesit, aby klienti mali vzdy rovnake IP a aby isli zaradom

client17 10.8.0.17
client18 10.8.0.18
client19 10.8.0.19
....

Odpovědi

[Aleš Kapica]

1, Je třeba si uvědomit, že jméno klienta u OpenVPN je jméno, na které je vystaven certifikát. Nikoliv jméno klientské stanice. Takže v případě, že by se více klientů vůči VPN serveru prokazovalo jedním a tím samým certifikátem, může nastat u staticky přidělované adresy problém, protože budou dostávat stejnou IP.

2, Podle této stránky lze pro takový případ nastavit rozsah a místo cílové adresy v konfiguracích pro klienty pak použít masku.

[jany2]

To bude asi trocha problem. Je potrebne pkcs12 vytvarat pre server a zvlast pre kazdeho klienta ? a navyse neviem ci to bude fungovat u klientov. Mne vlastne nevadi, ked klient dostane vzdy inu IP (kazdy ma predsa svoj key a crt) ale chcel som, aby bol v tom trocha poriadok a kazdy klient aby mal vzdy tu istu IP (napr. aj podla mena na ktore je vystaveny crt).

[Jendа]

Je potrebne pkcs12 vytvarat pre server a zvlast pre kazdeho klienta ?

Ano (nejen kvůli přidělování adres - co budeš dělat, až budou mít všichni stejné klíče, a jeden někdo ukradne?)

V easy-rsa je na to skript build-key.

[MP]

V pripade stejnych crtifikatu u vice klientu lze pouzit identifikaci podle username. Na klientovi zadat pomoci direktivy auth-user-pass a na servru pak username-as-common-name. V ccd pak budou soubory se jmeny uzivatelu.

[jany2]

crt mam pre klientov uz vytvorene (bez pass) a kazdy ma svoj crt. Myslel som si, ze to bude jednoduchsie :(

[MP]

To nemusi byt crt. s heslem. To je username a password mimo certifikaty. Pokud ma kazdy klient vlastni crt. tak tento zpusob nepotrebujete a v ccd budou jmena co jsou v crt.

[jany2]

Celkovo som si myslel, ze staticke pridelovanie IP adries nebude take komplikovane.

[MP]

Nevim, ale vytvorit adresar a do konfiguraku servru pridat radek "client-config-dir adresar". Do adresare udelat soubory s nazvama jako mate jmena v certifikatech a do kazdeho dat "ifconfig-push IPclienta IPservru" mi neprijde nejak vyrazne slozite.

[jany2]

Ved presne na to som sa pytal v prvom prispevku. V server.conf mam pridanu

client-config-dir ccd

adresar ccd mam vytvoreny, ktoreho obsahom je (zatial jeden) subor s nazvom client17 (podla nazvu v crt pre daneho klienta). Obsah suboru je

ifconfig-push 10.8.0.17 10.8.0.18

Toto mi funguje, klient dostane IP 10.8.0.17.
Ale ako mam teraz vytvorit subor pre dalsieho klienta (client18) co bude jeho obsahom ??

bigBRAMBOR napisal a nie celkom tomu rozumiem (dalsia IP moze byt az 10.8.0.21 ?)

To co pises plati pro tun a jeste kdyz to neni v doporucovaném subnet modu. To se muze stat, ne vsechna zarizeni ktera se chlubi podporou ovpn umi na tun subnet mod. Pak je ale treba si uvedomit ze ne vsechny po sobe jdouci ip ti udelaji validni subnet. 17 + 18 ano, ale dalsi validni subnet je az 21,22.

[MP]

Pokud jsou klienti s os Windows tak ano. Jejich implementace virtualniho rozhrani (tap adapter) neumoznuje pridelovat adresy jednotlive ale vzdy subnety /30. To znamena po 4 adresach. Takze bigBRAMBOR ma pravdu ze dalsi bude "ifconfig-push 10.8.0.21 10.8.0.22". Pokud jsou ale klienti linux, muzete pridelovat po jedne adrese viz https://community.openvpn.net/openvpn/wiki/Topology

[jany2]

Takze z toho co som pochopil, mne staci do server.conf pridat

topology subnet

a do ccd subor s nazvom pre aky bol vygenerovany crt,key, takze u mna client17

ifconfig-push 10.8.0.17 255.255.255.0

dalsi subor client18

ifconfig-push 10.8.0.18 255.255.255.0

atd ...
Myslim, ze windows klient tam nebude. Co by sa stalo ak by nahodou bol ?

[MP]

Zas tolik do toho nevidim. Mozna se nestane nic, mozna se to bude "mlatit" s IP adresama okolnich klientu a mozna se ten windowsi klient ani nepripoji. Nezbyva nez abyste to zkusil =)

[jany2]

OK thx, viem to vyskusat (zatial) len z jednym klientom, takze neviem aky to bude mat dopad, ak sa pripoji viac klientov. Ak to bude "kvazi" v ostrej prevadzke a bude to robit problemy, tak staticke pridelovanie budem musiet vypnut.

[bigBRAMBOR]

Zalezi na verzi klienta. I win client od verze 2.1 snad by to mel umet. Ale narazil jsem na funkcnost na iOS a androidu, a to nemluvim o tom v jakem stavu je podpora napr v mikrotiku a nebo jinych routerch ktere jsem potkal. Pokud vis co se bude pripojovat urcite zvol topology subnet.

[jany2]

AK by mal byt na druhej strane router, tak MK neodporucas ? Ktory router by si zvolil, je vhdne nieco s openwrt ?

[bigBRAMBOR]

To co pises plati pro tun a jeste kdyz to neni v doporucovaném subnet modu. To se muze stat, ne vsechna zarizeni ktera se chlubi podporou ovpn umi na tun subnet mod. Pak je ale treba si uvedomit ze ne vsechny po sobe jdouci ip ti udelaji validni subnet. 17 + 18 ano, ale dalsi validni subnet je az 21,22.