OpenVPN remote-random: ordre barrejat, un sol túnel

La suposició és que afegir remote-random converteix el perfil en un conjunt rotatiu, de manera que cada connexió surt d’una adreça diferent. El que fa realment la directiva és barrejar la llista de remots una vegada, quan el client comença a connectar-se, i després provar-los en aquest nou ordre. El túnel que finalment s’aixeca continua acabant en un sol extrem i s’hi queda durant tota la vida de la sessió.

Aquesta diferència importa tant per a les proves com per a les afirmacions de privadesa.

Què canvia l’opció en el moment de connectar

Un perfil de client pot contenir diverses línies remote, cadascuna amb el seu propi nom d’amfitrió i port. Sense la directiva es proven en l’ordre del fitxer; amb ella, la llista es permuta una vegada a l’inici de la sessió i guanya la primera adreça que respon. La resta queden com a alternatives per a aquest intent, no com a camins paral·lels. Un perfil amb un sol remot no dona res a barrejar a la directiva, i aquesta és la manera més ràpida de veure si pot importar.

El manual d’OpenVPN documenta l’opció com a afectació de l’ordre dels intents de connexió, i aquest és exactament l’abast que cal esperar en el comportament.

Una reconnexió inicia un cicle de selecció nou, de manera que una sessió posterior pot acabar en un altre lloc. El túnel actiu no es mou mentre està aixecat.

Mite: cada petició obté un servidor nou

Un cop establert, el túnel porta tot el trànsit d’aquella sessió fins al parell triat. No hi ha reselecció per petició, i la directiva no és un balancejador de càrrega per a connexions individuals: barreja candidats, no reparteix paquets. Cada aplicació que comparteix aquest túnel comparteix el mateix parell. Tot el que un navegador informa sobre la seva sortida pertany a la sessió, no a una petició individual.

Si una prova mostra dues sortides diferents, busca dues sessions separades en lloc d’una opció enginyosa. Aquesta distinció també explica per què una prova de navegador i una prova de descàrrega poden discrepar quan entre elles s’ha produït una reconnexió.

Per a què serveix remote-random-hostname

Una segona directiva amb un nom similar canvia el nom d’amfitrió utilitzat per a la resolució, no l’ordre de la llista de remots. Existeix per a desplegaments on un nom es resol en diverses adreces mitjançant DNS de round-robin, i només s’ha d’utilitzar quan el servei està construït per a això. Només canvia el pas de resolució; l’ordre de la llista de candidats no.

Activar-la perquè els noms semblen relacionats és un error habitual. Un certificat comodí o una disposició de DNS que no espera el nom modificat simplement no resoldrà o no validarà.

Llegeix l’extrem seleccionat del registre

Anota quin parell ha utilitzat realment una sessió abans de treure conclusions. La sortida detallada anomena l’adreça que s’està provant, i el propi perfil mostra quants candidats hi ha. Compara aquest recompte amb l’adreça del registre abans de culpar el barrejat.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Per a una comparació de rendiment, fixa l’extrem comentant els altres remots perquè la variable a prova sigui el protocol o el client i no el camí. Per a una qüestió de privadesa, avalua la identitat del servei i el registre en conjunt; una primera tria barrejada no esborra les galetes, no elimina l’inici de sessió del compte ni fa equivalents dos operadors.

Mantén junts el material de confiança lliurat i el conjunt d’extrems compatibles. El barrejat només canvia l’ordre en què es prova aquest conjunt.