Няколко OpenVPN-адреса: списък за failover, а не обединяване на канали

Два реда remote в един профил изглеждат като втора лента; всъщност са втори опит. Когато първият endpoint спре да отговаря, клиентът продължава напред и сесията не става по-широка. Наречете списъка failover още в началото, иначе ще настройвате грешния ключ.

Какво ви дава списъкът с remote

Разглеждайте профила като подреден набор от опити, а не като пул от капацитет. Всеки запис получава своя ред да вдигне тунела и сесията живее върху този, който е отговорил. По-дълъг списък увеличава шансовете ви за свързване, а не размера на тръбата.

Истинското агрегиране е друга машина. Разделянето на един поток по няколко пътя изисква софтуер в двата края, който да разпредели и сглоби трафика отново по ред.

Доставчик, който обещава по-бързи тунели от повече сървъри, продава точно този втори модел, а не по-дълъг списък. Ако клиентът само опитва endpoint-ите поред, пет записа променят шансовете ви и нищо друго. Наблюдавайте прекъсване: сесията пада и се връща някъде другаде, което журналът показва като нов endpoint, никога като по-широка тръба.

Блокове, които пазят настройките към един endpoint

Обикновеният ред remote носи адрес, а понякога порт и протокол. Когато на endpoint му трябва прокси или транспорт, който останалата част от файла не използва, сложете тези настройки в блок за връзка, който ги пази с него. Вградените блокове също работят в един .ovpn файл и така се доставят повечето профили.

Всичко извън блок служи като стойност по подразбиране за записи, които не го отменят. Затова един изграден блок и четири обикновени remote се държат по начин, който списъкът с адреси не може да обясни.

Изтриването на блок, който не разпознавате, не е козметика. Endpoint-ът, на който е принадлежал, се връща към стойностите по подразбиране на файла, които може да са различен транспорт от този, на който слуша. Махнете грешната обвивка и един запис се проваля, докато останалите работят, така че изглежда като лош сървър, а не като счупен профил. Четете всеки remote с неговия транспорт, порт и прокси, преди да редактирате.

Ред на повторните опити и цената на remote-random

Редът е важен, защото всеки мъртъв запис струва време преди следващия опит. Сложете желания endpoint първи, а останалите третирайте като подредени резерви.

remote-random разбърква началния ред, което разпределя натоварването между еквивалентни сървъри и дава обратен ефект, когато един endpoint очевидно е основен. Както и да е, записвайте endpoint-а, който клиентът е избрал; името на профила не казва нищо, когато връзката изглежда бавна. Търсенето на реда за връзката в подробен журнал показва къде е кацнала сесията.

Смесването на оператори чупи декларацията за доверие

Профилът е и твърдение за идентичност: тези адреси са услугата, която сте искали да достигнете, и закрепеният сертификат принадлежи на нея. Пускането на безплатни публични сървъри в този файл чупи твърдението: техните сертификати и вашият описват различни услуги. Обичайният резултат е отказ по идентичност или идентификационни данни, предложени на хост извън мрежата на вашия доставчик. Пазете алтернативите в набора, който вашият оператор разпространява, със съответстващи идентификационни данни и доверителен материал.

Ако ви трябват endpoint-и от двама доставчици, това е маршрутизация, а не редакция на профил. Решете го над тунела, където можете да кажете кой трафик по кой път минава.

Тествайте всеки запис, вместо да предполагате

След одобрено обновяване на профила се свържете умишлено с всеки задължителен endpoint и потвърдете кой транспорт е вдигнат. Подробното изпълнение прави това видимо. Стартирайте openvpn --config office.ovpn --verb 4 и прочетете реда за връзката за адреса, който сте очаквали. После проверете ресурсите зад тунела; един запис може да завърши ръкостискането и пак да не ви насочи никъде.

Failover се нуждае от собствен тест, а не от надежда. Блокирайте първия endpoint в лаборатория, стартирайте клиента и измерете колко време отнема да премине напред. Дълъг списък зад бавен първи запис е по-лош от кратък, който стартира добре.

Проверявайте списъка отново всеки път, когато операторът го промени. Импортиран набор е полезен само докато записите му съществуват и говорят транспорта, който описват блоковете ви. Ръководството на OpenVPN 2.6 покрива тук директивите remote, connection и random-order и това е версията, която да проверите, когато синтаксисът е под съмнение.