Více OpenVPN remote: seznam pro failover, ne spojování linek

Dvě řádky remote v jednom profilu vypadají jako druhý pruh; jsou to druhý pokus. Když první endpoint přestane odpovídat, klient jde dál a relace se nerozšíří. Říkejte seznamu failover včas, jinak budete ladit špatný knoflík.

Co vám seznam remote přinese

Berte profil jako uspořádanou množinu pokusů, ne jako fond kapacity. Každá položka dostane svůj tah na zvednutí tunelu a relace žije na té, která odpověděla. Delší seznam zlepšuje šanci na připojení, ne velikost trubky.

Skutečná agregace je jiný stroj. Rozdělit jeden tok přes několik cest vyžaduje software na obou koncích, který provoz rozdělí a zase poskládá v pořadí.

Dodavatel, který slibuje rychlejší tunely z více serverů, prodává právě ten druhý model, ne delší seznam. Pokud klient jen zkouší endpointy po řadě, pět položek změní vaše šance a nic jiného. Sledujte výpadek: relace spadne a vrátí se jinde, což log ukáže jako nový endpoint, nikdy jako širší trubku.

Bloky, které drží nastavení u jednoho endpointu

Obyčejný řádek remote nese adresu a někdy port a protokol. Když endpoint potřebuje proxy nebo transport, který zbytek souboru nepoužívá, zabalte tato nastavení do bloku připojení, který je drží u něj. Vložené bloky fungují i v jednom souboru .ovpn, a tak se dodává většina profilů.

Vše mimo blok slouží jako výchozí hodnota pro položky, které ji nepřebíjejí. Proto se jeden postavený blok a čtyři obyčejné remote chovají způsobem, který seznam adres nedokáže vysvětlit.

Smazat blok, který nepoznáváte, není kosmetika. Endpoint, kterému patřil, spadne zpět na výchozí hodnoty souboru, a ty mohou být jiný transport, než na kterém naslouchá. Odstraňte špatný obal a jedna položka selže, zatímco ostatní fungují, takže to vypadá jako špatný server, ne jako rozbitý profil. Před úpravou si každý remote přečtěte s jeho transportem, portem a proxy.

Pořadí opakování a cena remote-random

Pořadí je důležité, protože každá mrtvá položka stojí čas před dalším pokusem. Dejte požadovaný endpoint první a ostatní berte jako seřazené zálohy.

remote-random zamíchá počáteční pořadí, což rozloží zátěž mezi rovnocenné servery a vymstí se, když je jeden endpoint jasně hlavní. Ať tak či onak, zaznamenejte endpoint, který klient zvolil; jméno profilu nic neříká, když spojení působí pomalu. Grepování řádku odkazu v podrobném logu ukáže, kde relace přistála.

Míchání operátorů rozbíjí prohlášení o důvěře

Profil je také tvrzení o identitě: tyto adresy jsou služba, kterou jste chtěli dosáhnout, a připnutý certifikát patří jí. Pustit do toho souboru bezplatné veřejné servery tvrzení rozbíjí: jejich certifikáty a ten váš popisují různé služby. Obvyklým výsledkem je selhání identity, nebo přihlašovací údaje nabídnuté hostiteli mimo síť vašeho poskytovatele. Držte alternativy v sadě, kterou váš operátor distribuuje, s odpovídajícími údaji a materiálem důvěry.

Pokud potřebujete endpointy od dvou poskytovatelů, je to směrování, ne úprava profilu. Řešte to nad tunelem, kde můžete říct, který provoz jde kterou cestou.

Testujte každou položku místo předpokladů

Po schválené aktualizaci profilu se záměrně připojte ke každému požadovanému endpointu a ověřte, který transport naskočil. Podrobný běh to ukáže. Spusťte openvpn --config office.ovpn --verb 4 a přečtěte řádek odkazu pro adresu, kterou jste čekali. Pak zkontrolujte zdroje za tunelem; položka může dokončit handshake a přesto vás nikam nenasměrovat.

Failover potřebuje vlastní test, ne naději. Zablokujte první endpoint v laboratoři, spusťte klienta a změřte, jak dlouho mu trvá přejít dál. Dlouhý seznam za pomalou první položkou je horší než krátký, který dobře startuje.

Seznam znovu zkontrolujte, kdykoli ho operátor změní. Importovaná sada je užitečná jen dokud její položky existují a mluví transportem, který vaše bloky popisují. Příručka OpenVPN 2.6 zde pokrývá direktivy remote, connection a random-order a je to verze, kterou je třeba ověřit, když je syntaxe nejistá.