Некалькі OpenVPN-злучэнняў: спіс failover, а не звязванне каналаў

Дзве радкі remote у адным профілі выглядаюць як другая паласа; насамрэч гэта другая спроба. Калі першы endpoint перастае адказваць, кліент пераходзіць далей, і сеанс не становіцца шырэйшым. Назавіце спіс failover загадзя, інакш вы настроіце не той рычаг.

Што дае вам спіс remote

Разглядайце профіль як упарадкаваны набор спроб, а не як пул ёмістасці. Кожны запіс атрымлівае свой чарг на ўздым тунэля, і сеанс жыве на тым, які адказаў. Даўжэйшы спіс павялічвае шанцы падключыцца, а не памер трубы.

Сапраўдная агрэгацыя — гэта іншая машына. Каб падзяліць адзін паток па некалькіх шляхах, патрэбна праграмнае забеспячэнне на абодвух канцах, якое размеркавала б трафік і зноў сабрала яго па парадку.

Пастаўшчык, які абяцае хутчэйшыя тунэлі з большай колькасці сервераў, прадае менавіта другую мадэль, а не даўжэйшы спіс. Калі кліент толькі перабірае endpoint-ы па чарзе, пяць запісаў змяняюць вашы шанцы і больш нічога. Паназірайце за збоем: сеанс абрываецца і вяртаецца ў іншым месцы, што журнал паказвае як новы endpoint, а ніколі як шырэйшую трубу.

Блокі, якія трымаюць налады з адным endpoint-ам

Звычайны радок remote нясе адрас, а часам порт і пратакол. Калі endpoint-у патрэбны проксі або транспарт, які не выкарыстоўвае рэшта файла, складзіце гэтыя налады ў блок злучэння, які трымае іх разам з ім. Убудаваныя блокі таксама працуюць у адным файле .ovpn, і менавіта так пастаўляецца большасць профіляў.

Усё па-за блокам дзейнічае як значэнне па змаўчанні для запісаў, якія яго не перакрываюць. Вось чаму адзін пабудаваны блок і чатыры звычайныя remote паводзяць сябе так, што спіс адрасоў не можа растлумачыць.

Выдаленне блока, які вы не пазнаеце, — гэта не касметыка. Endpoint, якому ён належаў, вяртаецца да значэнняў файла па змаўчанні, а яны могуць быць іншым транспартам, чым той, на якім ён слухае. Прыбярыце няправільную абгортку, і адзін запіс будзе памыляцца, пакуль астатнія працуюць, таму гэта выглядае як дрэнны сервер, а не як зламаны профіль. Чытайце кожны remote разам з яго транспартам, портам і проксі перад рэдагаваннем.

Парадак паўтораў і цана remote-random

Парадак мае значэнне, бо кожны мёртвы запіс каштуе часу перад наступнай спробай. Пастаўце патрэбны endpoint першым, а астатнія разглядайце як ранжыраваныя рэзервовыя варыянты.

remote-random перамешвае парадак запуску, што размеркаваў нагрузку па эквівалентных серверах і дае адваротны эфект, калі адзін endpoint відавочна асноўны. У любым выпадку запішыце endpoint, які абраў кліент; імя профілю нічога не кажа, калі злучэнне здаецца павольным. Пошук радка спасылкі ў падрабязным журнале пакажа, куды трапіў сеанс.

Змешванне аператараў ламае заяву аб даверы

Профіль — гэта таксама заява пра ідэнтычнасць: гэтыя адрасы — паслуга, якой вы хацелі дасягнуць, і замацаваны сертыфікат належыць ёй. Калі скінуць у гэты файл бясплатныя публічныя серверы, заява ламаецца: іх сертыфікаты і ваш апісваюць розныя паслугі. Звычайным вынікам становіцца памылка ідэнтычнасці або ўліковыя дадзеныя, выдадзеныя хасту па-за сеткай вашага правайдэра. Трымайце альтэрнатывы ў межах набору, які раздае ваш аператар, з адпаведнымі ўліковымі дадзенымі і матэрыялам даверу.

Калі вам патрэбны endpoint-ы ад двух правайдэраў, гэта маршрутызацыя, а не правака профілю. Вырашаецца гэта над тунэлем, дзе вы можаце сказаць, які трафік ідзе якім шляхам.

Правярайце кожны запіс замест здагадак

Пасля ухваленага абнаўлення профілю падключыцеся да кожнага патрэбнага endpoint-а наўмысна і пацвердзіце, які транспарт узняўся. Падрабязны запуск робіць гэта бачным. Запусціце openvpn --config office.ovpn --verb 4 і прачытайце радок спасылкі для адраса, якога чакалі. Затым праверце рэсурсы за тунэлем; запіс можа завяршыць рукапацісканне і ўсё роўна нікуды вас не накіраваць.

Failover патрабуе ўласнай праверкі, а не надзеі. Заблакуйце першы endpoint у лабараторыі, запусціце кліент і замерце, колькі часу трэба, каб перайсці далей. Доўгі спіс за павольным першым запісам горш за кароткі, які добра стартуе.

Пераправярайце спіс кожны раз, калі аператар яго змяняе. Імпартаваны набор карысны, толькі пакуль яго запісы існуюць і размаўляюць на транспарце, які апісваюць вашыя блокі. Кіраўніцтва OpenVPN 2.6 апісвае тут дырэктывы remote, connection і random-order, і гэта тая версія, якую варта правяраць, калі сінтаксіс пад сумневам.