OpenVPN: привязка IP клиента к CN его сертификата (IP to Certificate binding)

Зачастую требуется, чтобы удаленные клиенты, подключаясь к VPN-серверу (будь то openvpn, IPSec или что-то еще) постоянно получали одни и те же адреса внутри туннеля. Такая потребность возникает когда нужно обеспечить непрерывный мониторинг клиентских ПК, если эти клиентские ПК, например, являются платежными терминалами, с установленными Windows Embedded.  Благодаря подобной привязке можно в том же Nagios указать, что 10.10.220.10 — это адрес платежного терминала расположенного по адресу Пушкинская, д.20, а 10.10.220.15 — терминала, расположенного на Некрасова, д.14.

Итак, в OpenVPN за назначение адресов клиентам, равно как и самому серверу, отвечает следующая строчка файла server.conf:

server 10.10.220.0 255.255.255.0

Так, сервер получит первый адрес подсети, 10.10.220.1, а клиенты — свободные адреса из пула. При использовании tun-интерфейса клиенты будут получать адреса 10.10.220.4, 10.200.220.8, 10.200.220.12 и т.д.

Нужно, чтобы Клиент_1 всегда получал адрес 10.10.220.12, а Клиент_2 всегда получал адрес 10.10.220.16. Для этого в server.conf OpenVPN есть/должна быть такая строчка:

ifconfig-pool-persist ipp.txt

Она указывает, что прежде чем раздавать клиентам свободные адреса из пула, сервер должен заглянуть в файл ipp.txt и посмотреть, нет ли для того или иного клиента привязки его имени к IP-адресу. Если такая привязка есть — нужно взять адрес из этого (ipp.txt) файла и назначить его клиенту.

Так как взаимная аутентификация сервера и клиента осуществляется по 802.1x серификатам, целесообразно привязывать IP адрес к сертификату. Для привязки сертификата берется атрибут CN (common name) поля Subject сертификата клиента. Т.е., если в сертификате клиента  поле Subject выглядит так:

E = admin@sommail.ru
CN =Client_01
OU = somedep
O = SomeOrg Inc.
L = Saint-Petersburg
C = RU

то запись для Клиента_1 в файле ipp.txt будет выглядеть так: Client_01,10.10.220.12

Соответственно, весь файл для обозначенной задачи будет содержать две строчки:

Client_01,10.10.220.12
Client_01,10.10.220.16

На самом деле, в данном случае, т.к. клиенты представляют собой терминалы на Windows Embedded и используется технология net30, они (клиенты) получат в последнем октете не 12 и 16, а 14 и 18 соответственно, но на практике это не принципиально, т.к. важно то, что (14 и 18) адреса клиенты будут получать постоянно.

P.S. OpenVPN сервер по дефолту сам сохраняет IP подключающихся клиентов в файл ipp.txt (или как он у вас называется), при настройке мониторинга, можно просто посмотреть в этот файл и забрать данные оттуда, ничего самостоятельно не туда не добавляя.


Не забывайте оставлять комментарии, если пост был вам полезен!
Опубликовано в Сети Метки: , , ,
18 comments on “OpenVPN: привязка IP клиента к CN его сертификата (IP to Certificate binding)
  1. Дмитрий:

    Скажите, а если у меня 1 сертификат безопасности на всех, как быть?

    • террористических актов. — от похищения имущества предприятия его сотрудниками и сторонними лицами. Для выполнения вышеназванных требований, нужно создать охрана складов защита стройматериалов, строительного оборудования и инструмента. Поскольку доступ на стройку невозможно предотвратить с помощью непреодолимого забора,

    • обработку этих конструкций от огня. Операция по защите воздуховодов от огня довольно сложна и не может быть доверена дилетантам. Для проведения этой обработки огнезащитное покрытие воздуховодов этой операции необходимо почти всегда применять армирование. После выполнения обмазки трубопровода, на которую затрачивается большое количество материала,

    • Чтобы преобразить помещение деревянного дома, многие выбирают самый простой способ эпоксидный грунт а совместно с продавцом-консультантом, который, используя свои знания и опыт,

    • времени не хватит. Хотя за определённую плату договориться можно и с инструкторами.права через автошколу Следует понимать: для плавного возобновления движения нужно давить на педаль газа, плавно отпуская в это время педаль сцепления. Важно делать это без рывков:

    • Serg:

      Поставить в конфигурационном файле сервера опцию
      duplicate-cn

  2. Истинные обладатели домашнего тепла и уюта непременно носят в собой вариант произвести также построить личный очага у образе огромного коттеджа, либо же брусковый дом, где именно каждая деталь будет приготовленный своими силами также личными схемами. таким образом, сооружение или починка любого жилья основательно содержиться у доброкачественных материалах также его правильном задействованы , потому что а частности от этих факторов зависит наше с вами здоровье плюс незыблемость сервиса той или иной налаженности воздвижения. На нашем сайте Необычные обои пользователи сможете выбрать различные вещества надобные именно для самопроизвольного уходе и строительства, прочитать статьи об данное действие еще консультации и консультирование ото профессионалов в части обработки дома, затем уверенно приступить к вложения. на сайте вы найдете полезные отзывы на проектирование также строительство деревянных, высоток, небольших также других жилья. рекомендации в тему: как же сделать любой квартиру опрятным в минимальный время, избавиться с заплесневелостью, создать проектирование zastroyka.org комнаты, положить электричество, соорудить подъем, смонтировать проемы, точный расчет площади, сдавить швы плитки к тому же другие подробности, которые естественно помогут вам овладеть со строительством также обслуживанием дома у два счета.

  3. Для обеспечения доступа к сетям клиента, задаем маршруты к этим сетям. Заданные здесь маршруты будут добавлены к системным маршрутам. В режиме сервера, необходимо также задать внутренние маршруты параметром iroute в файле конфигурации клиента.

  4. А как быть в ситуации, когда возникли проблемы и нынешние хозяева просто желают побыстрее решить их радикальным образом. Пока товарный вид еще не разрушил подобные начинания. купить 4 комнатную квартиру в красной поляне Нечестные строители прекрасно осознают, что завышение бюджета на несколько десятков процентов при наличии неграмотного заказчика – процесс, если не совсем простой, то не требующий особых усилий.

  5. Спасибо. Помогло.

  6. BrosOi:

    Green Day is a famous country singer, so don’t miss the possibility to visit here

  7. Priligy Janssen Levitra Acquisto Sicuro Doxycycline On Line viagra Buy Amoxicillin 875 Mg Preis Viagra Preisvergleich

  8. Acne Amoxicillin Drus On Line Mexico viagra Shipped Ups On Line Zentel Amex Canadian Parmacy

  9. Cialis Billig Rezept viagra online Cialis 20 Mg 8 Compresse

  10. Propecia O Pilexil Best Place To Get Viagra Prezzo Cialis 20 Mg viagra online prescription Cheapviagra From India Viagra Preiswert

  11. How To Buy Elocon cialis Acquistare Cialis Kamagra In Linea

  12. Propecia Dermatologist Approved Quick Online Orlistat Comprar Cialis En Oferta sildenafil tadalafil and vardenafil Buy Indometacin Tablets Parafarmacia Online Propecia Articulo 138

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

*

Заодно посмотрите мои фоты в моем профиле вконтакте. Любые вопросы по существу статей можете задать там же.

Hostenko — лучший WordPress-хостинг