OPNSense高可用OpenVPN服务器（带DUO认证）闲置IP未释放问题求助

看起来你遇到的是OpenVPN在高可用+DUO认证场景下的IP地址泄漏问题，这种情况在不稳定网络环境下确实很头疼，尤其是当VPN子网只有/24规模时，很快就会被耗尽。我来帮你拆解问题并给出针对性的解决方案：

先说说你尝试的那些选项为啥没达到预期效果 #

• persist-local-ip/persist-remote-ip：这两个选项主要是让客户端在短暂丢包但隧道未完全断开时保留原有IP，但如果是快速断开重连（比如WiFi秒切），客户端会发起全新的连接请求，而服务器如果没收到有效的断开通知，就会把旧IP继续标记为“已分配”状态。
• explicit-exit-notify 3：这个是让客户端主动向服务器发送退出通知，但如果是突然断网（比如WiFi瞬间断开），客户端根本来不及发送这个包，服务器自然不知道连接已经失效，旧IP也就不会被释放。
• ip-win32 dynamic 10：这只是Windows客户端本地的动态IP超时设置，服务器端的IP回收逻辑才是关键，客户端的设置影响不了服务器的IP分配规则。

服务器端配置：释放闲置IP + 重连复用旧IP的核心方案 #

1. 启用心跳检测，自动回收失效连接的IP

在OPNSense的OpenVPN服务器高级设置里，添加以下参数：

keepalive 10 60

这个配置的意思是：服务器每10秒向客户端发送一次心跳包，如果连续60秒（即6次心跳）都没收到客户端的回应，就判定连接已失效，立即释放对应的IP地址。你可以根据自己的网络稳定性调整数值，比如把超时时间设为30秒（keepalive 10 30），但别太激进，避免正常连接被误判。

2. 让重连客户端复用旧IP

同样在服务器高级设置里添加：

ifconfig-pool-persist /var/etc/openvpn/ipp.txt

这个文件会持久化记录客户端的IP分配信息（基于客户端的证书CN或用户名），当同一客户端重连时，服务器会优先分配它之前使用过的IP。需要确保这个文件所在目录有OpenVPN进程的读写权限，OPNSense默认环境下一般没问题。

3. 配合DUO认证的额外调整

• 如果你的场景是单用户单设备登录，可以关闭服务器设置里的duplicate-cn选项。这样当同一用户发起新连接时，服务器会主动踢掉旧连接，同时释放旧IP。
• 如果需要同一用户多设备登录，保持duplicate-cn开启，但结合keepalive参数，确保失效的旧连接能被及时清理。

4. 可选：用客户端配置目录（CCD）精细化管理IP

如果你的用户数量不多，可以启用client-config-dir功能，为每个客户端创建单独的配置文件，在文件里设置固定IP，同时添加iroute和persist-key等参数。启用ccd-exclusive选项后，服务器会严格按照CCD配置分配IP，且客户端断开后立即释放IP，但这个方法需要逐个配置客户端，适合小规模场景。

排查当前闲置IP的小技巧 #

在OPNSense的命令行中执行以下命令，查看当前OpenVPN的连接状态，确认哪些IP对应的连接已经失效但未释放：

cat /var/etc/openvpn/server1.status  # 替换server1为你的服务器编号

或者直接查看OpenVPN进程的运行状态：

ps aux | grep openvpn

总结一下：核心是通过服务器端的keepalive和ifconfig-pool-persist来实现IP的自动回收和复用，客户端的选项只是辅助。调整后应该能有效解决/24子网快速耗尽的问题。

备注：内容来源于stack exchange，提问作者Nash