Diversos remotes d’OpenVPN: llista de failover, no enllaç de canals

Dues línies remote en un perfil semblen una segona via; són un segon intent. Quan el primer endpoint deixa de respondre, el client passa endavant i la sessió no es fa més ampla. Anomeneu la llista failover des del principi, o ajustareu el dial equivocat.

Què us aporta una llista de remote

Tracteu el perfil com un conjunt ordenat d’intents, no com un pool de capacitat. Cada entrada rep el seu torn per aixecar el túnel, i la sessió viu en la que ha respost. Una llista més llarga millora les probabilitats de connectar-se, no la mida de la canonada.

L’agregació real és una altra màquina. Dividir un flux per diversos camins requereix programari als dos extrems per repartir i tornar a muntar el trànsit en ordre.

Un proveïdor que promet túnels més ràpids amb més servidors ven aquest segon model, no una llista més llarga. Si el client només prova els endpoints per torns, cinc entrades canvien les probabilitats i res més. Mireu una caiguda: la sessió cau i torna en un altre lloc, cosa que el registre mostra com un endpoint nou, mai com una canonada més ampla.

Blocs que guarden la configuració amb un sol endpoint

Una línia remote simple porta una adreça i de vegades un port i un protocol. Quan un endpoint necessita un proxy o un transport que la resta del fitxer no utilitza, poseu aquesta configuració en un bloc de connexió que la guardi amb ell. Els blocs en línia també funcionen en un fitxer .ovpn, i així es distribueixen la majoria de perfils.

Tot el que és fora d’un bloc actua com a valor per defecte per a les entrades que no el sobreescriuen. Per això un bloc construït i quatre remote simples es comporten de maneres que la llista d’adreces no pot explicar.

Esborrar un bloc que no reconeixeu no és cosmètic. L’endpoint al qual pertanyia torna als valors per defecte del fitxer, que poden ser un transport diferent del que escolta. Traieu l’embolcall equivocat i una entrada falla mentre la resta funciona, així que sembla un servidor dolent i no un perfil trencat. Llegiu cada remote amb el seu transport, port i proxy abans d’editar.

Ordre de reintents i el cost de remote-random

L’ordre importa perquè cada entrada morta costa temps abans del següent intent. Poseu primer l’endpoint que voleu i tracteu la resta com a alternatives ordenades.

remote-random barreja l’ordre inicial, cosa que reparteix la càrrega entre servidors equivalents i té efecte contrari quan un endpoint és clarament primari. En qualsevol cas, registreu l’endpoint que ha triat el client; el nom del perfil no diu res quan una connexió va lenta. Fer grep de la línia d’enllaç en un registre detallat mostra on ha aterrat la sessió.

Barrejar operadors trenca la declaració de confiança

Un perfil també és una afirmació sobre la identitat: aquestes adreces són el servei que volíeu assolir, i el certificat fixat hi pertany. Posar servidors públics gratuïts en aquest fitxer trenca l’afirmació: els seus certificats i el vostre descriuen serveis diferents. El resultat habitual és un error d’identitat, o credencials ofertes a un amfitrió fora de la xarxa del vostre proveïdor. Manteniu les alternatives dins del conjunt que distribueix el vostre operador, amb credencials i material de confiança coincidents.

Si necessiteu endpoints de dos proveïdors, això és encaminament, no una edició del perfil. Resoleu-ho per sobre del túnel, on podeu dir quin trànsit pren quin camí.

Proveu cada entrada en lloc de suposar

Després d’una actualització aprovada del perfil, connecteu-vos a cada endpoint necessari a propòsit i confirmeu quin transport ha pujat. Una execució detallada ho fa visible. Inicieu openvpn --config office.ovpn --verb 4 i llegiu la línia d’enllaç per a l’adreça que esperàveu. Després comproveu els recursos darrere del túnel; una entrada pot completar l’encaixada de mans i encara no encaminar-vos enlloc.

El failover necessita la seva pròpia prova en lloc d’una esperança. Bloquegeu el primer endpoint en un laboratori, inicieu el client i mesureu quant triga a passar endavant. Una llista llarga darrere d’una primera entrada lenta és pitjor que una de curta que comença bé.

Revisueu la llista sempre que l’operador la canviï. Un conjunt importat només és útil mentre les seves entrades existeixin i parlin el transport que descriuen els vostres blocs. El manual d’OpenVPN 2.6 cobreix aquí les directives remote, connection i random-order, i és la versió que cal consultar quan el sintaxi és dubtós.