Sessiya ortasında peer ünvanı dəyişdi: OpenVPN-də float nə edir

Noutbuk ofis Wi-Fi şəbəkəsindən telefon hotspota keçir, tunel bir neçə saniyə daha qalır, sonra interfeys hələ də qoşulduğunu iddia edərkən trafik dayanır. Serverdə status siyahısı köhnə publik ünvanı göstərməyə davam edir. Bu, float-ın mövcud olduğu vəziyyətdir və eyni zamanda insanların ondan etdiyindən qat-qat çox iş gözlədiyi vəziyyətdir. Sərhədi düzgün müəyyən etmək çaşdırıcı dayanmanı ya bir sətirlik konfiqurasiya dəyişikliyinə, ya da tamamilə başqa bir araşdırmaya çevirir.

float nəyi yumşaldır və nəyi heç vaxt yumşaltmır

Normalda sessiya başladığı xarici ünvan və portla danışmağa davam edir və başqa yerdən gələn paketlər nəzərə alınmır. float seçimi peer özünü artıq sübut etdikdən sonra bu sərt bağlılığı aradan qaldırır, beləliklə dəyişmiş mənbə xəritələməsi atılmaq əvəzinə eyni sessiyanı davam etdirə bilir. Kriptoqrafik yoxlamalarda heç nə dəyişmir: açarlar, sertifikatlar və hər hansı HMAC qorunması konfiqurasiya olunduğu kimi qalır.

Bu, hər paket üzrə qərardır, kimin qoşula biləcəyi ilə bağlı siyasət deyil. Yeni ünvandan paket göndərən naməlum maşın heç nə sübut etməyib və onun paketi hər hansı digər autentifikasiyasız trafik kimi atılır. Yalnız sessiyanın öz autentifikasiyasından keçən trafik qeydə alınmış peer ünvanını yerindən tərpədə bilər; buna görə də müştərilərin gəzdiyi mühitlərdə float-ı açıq saxlamaq təhlükəsizdir.

O, daxili tunel barədə də heç nə demir. Yerini dəyişmiş xarici ünvan tunel ünvanını yenidən təyin etmir, hovuzu dəyişmir və peer-ə yeni bir şeyə giriş vermir. Tunelin içində hərəkətdən əvvəl və sonra eyni şəxsiyyət və eyni ötürülən marşrutlar qüvvədədir. Gəzinti məlumat kanalını da yenidən razılaşdırmır, ona görə razılaşdırılmış şifr və açarlar davam edir.

Sessiyanı yerindən tərpədən paket autentifikasiyadan keçməlidir

Sessiyanı konfiqurasiya olunmuş uzaq tərəfə qarşı adi qaydada başladın və xəritələmə dəyişdikdə nə baş verdiyini float həll edir. Axın ortasında nömrələməni dəyişən mobil operator, port xəritələməsini yenidən yazan NAT şlüzü və ya yuxarı kanalı dəyişən noutbuk eyni formanı yaradır: yeni kortejdən gələn autentifikasiya olunmuş paketlər, hələ köhnəsinə inanan sessiyaya çatır.

float-ın işlədiyi soruşulanda faydalı sübut yalnız ünvan barədə log sətri deyil, tamamlanmış əl sıxma və ondan sonra qəbul edilmiş mənbə dəyişikliyidir. Köhnə və yeni xarici ünvanları sağ qalmış sessiya ilə əlaqələndirin, sonra trafikin həqiqətən tuneldən davam etdiyini təsdiqləyin.

Sessiya yerini dəyişmək əvəzinə ölürsə, yeni ünvandan gələn paket çox güman ki autentifikasiyadan keçməyib və ya heç gəlməyib. Hər iki hal müştəri tərəfdən eyni görünür. Serverdə publik interfeysdə tutulan paket hər hansı konfiqurasiyaya toxunmadan hansının olduğunu sizə deyir.

Aşkarlama tamamilə ayrı bir mexanizmdir

float adları taymerlə həll etmir və dinamik DNS qeydini izləmir. Serverin host adı yeni ünvana həll olunmağa başlasa, boş duran müştərinin bunu görmək üçün heç bir səbəbi və yeni son nöqtədən autentifikasiya edəcək paketi yoxdur. Bu problem yenidən qoşulma məntiqinə, müştərinin öz təkrar cəhd davranışına və DNS-ə aiddir, float-a deyil.

Seçimi bir daha əlavə etmək yeni ünvana marşrutun olmamasını kompensasiya edə bilməz. Peer səssiz olduqda da kömək etmir, çünki səssiz peer heç vaxt nəyisə tərpədəcək autentifikasiya olunmuş paketi göndərmir.

Alt qatdakı firewall-un da sözü var. Yalnız köhnə xarici son nöqtəyə icazə verən qayda dəyişmiş ünvanı OpenVPN onu görməmişdən əvvəl bloklayır və müştəri tərəfində heç bir konfiqurasiya bunu düzəltmir. İcazə verilən ünvanların həyat dövrünü ayrıca tapşırıq kimi nəzərdən keçirin; qaydanı hər mənbəyə genişləndirmək kiçik problemi böyük problemlə dəyişməkdir.

Profili NetworkManager idarə edəndə

Əmr sətri profili və idxal edilmiş bağlantı ayrı konfiqurasiyalardır və birini redaktə etmək digərinə toxunmur. Seçimin dəstəklənmədiyini güman etməzdən əvvəl saxlanmış profilin həqiqətən hansı plagin növünü istifadə etdiyini və dəyərlərinin harada yaşadığını müəyyənləşdirin. Hər hansı şeyi yoxlayarkən və ya dəyişdirərkən əhəmiyyətli identifikator profil UUID-idir.

Orijinal idxal faylını deyil, saxlanmış bağlantını yoxlayın. .ovpn faylında qalan sətir aktiv menecer onu heç tətbiq etməyibsə heç nə sübut etmir və verilmiş seçim üçün işarə qutusu olmayan redaktor da protokolun imkanları barədə heç nə sübut etmir.

Davranışı əlavə etmək üçün paketlənmiş plagini yamaqlamayın, xüsusən də əlaqəsiz komponentin tarixi versiyası üçün yazılmış diff ilə. Əgər quraşdırılmış inteqrasiya bu ayarı həqiqətən ifadə edə bilmirsə, düzgün addım dəstəklənən profil və ya yerləşdirmənin sahibinin təsdiqlədiyi başqa müştəri yoludur.

Keçidi güman etmək əvəzinə sübut edin

Testi nasazlığın baş verdiyi kimi aparın. Qoşulun, tuneldən trafiki yoxlayın, xarici ünvanı dəyişməyə məcbur edin və sonra üç şeyi yoxlayın: sessiya hələ də mövcuddur, qeydə alınmış peer ünvanı yerini dəyişib və real sorğu hələ də təyinatına çatır. Üçündən azı qismən cavabdır.

Test edərkən bərpa girişini əlçatan saxlayın, çünki gəzinti təcrübələri işlədiyiniz maşını tələyə salmağa meyllidir. Serial konsol və ya zolaq xarici marşrut uğursuz testi sayt ziyarəti əvəzinə beş dəqiqəlik bərpaya çevirir.

Nəhayət, yalnız sınadığınız halı təsvir edin. Sessiya zamanı uğurlu ünvan dəyişikliyi DNS miqrasiyalarının, başqa müştəri tətbiqinin və ya yenidən qurulmuş profilin eyni davranacağına dəlil deyil. link-options sənədləri seçimin əhatəsini dəqiq göstərir; test jurnalınız bu əhatənin hansı hissəsini həqiqətən əhatə etdiyinizi göstərməlidir.