OpenVPN remote-random: trefn gymysg, un twnnel

Y dybiaeth yw bod ychwanegu remote-random yn troi proffil yn gronfa gylchdroi, fel bod pob cysylltiad yn dod o gyfeiriad gwahanol. Yr hyn y mae’r gorchymyn yn ei wneud mewn gwirionedd yw cymysgu’r rhestr o remots unwaith, pan fydd y cleient yn dechrau cysylltu, ac yna eu rhoi cynnig yn y drefn newydd honno. Mae’r twnnel sy’n codi o’r diwedd yn dal i derfynu ar un penelin ac yn aros yno am oes y sesiwn.

Mae’r gwahaniaeth hwnnw’n bwysig ar gyfer profion ac ar gyfer honiadau preifatrwydd.

Beth mae’r opsiwn yn ei newid adeg cysylltu

Gall proffil cleient gynnwys sawl llinell remote, pob un â’i enw gwesteiwr a’i borth ei hun. Heb y gorchymyn cânt eu rhoi cynnig yn nhrefn y ffeil; gydag ef, mae’r rhestr yn cael ei haflunio unwaith ar ddechrau’r sesiwn ac mae’r cyfeiriad cyntaf sy’n ateb yn ennill. Mae’r gweddill yn dal i fod yn gefnffyrdd ar gyfer y cynnig hwn, nid yn lwybrau cyfochrog. Mae proffil ag un remote yn rhoi dim i’r gorchymyn ei gymysgu, a dyma’r ffordd gyflymaf i weld a all fod o bwys.

Mae llawlyfr OpenVPN yn dogfennu’r opsiwn fel un sy’n effeithio ar drefn ymgeisiau cysylltu, a dyna’n union y cwmpas i’w ddisgwyl mewn ymddygiad.

Mae ailgysylltu yn dechrau cylch dethol newydd, felly gall sesiwn ddiweddarach lanio yn rhywle arall. Nid yw’r twnnel byw yn symud tra mae i fyny.

Chwedl: mae pob cais yn cael gweinydd newydd

Unwaith y caiff ei sefydlu, mae’r twnnel yn cludo holl draffig y sesiwn honno i’r cymar a ddewiswyd. Nid oes ailddewis fesul cais, ac nid yw’r gorchymyn yn gydbwysydd llwyth ar gyfer cysylltiadau unigol: mae’n cymysgu ymgeiswyr, nid yw’n gwasgaru pecynnau. Mae pob rhaglen sy’n rhannu’r twnnel hwnnw yn rhannu’r un cymar. Beth bynnag y mae porwr yn ei adrodd am ei allanfa, mae’n perthyn i’r sesiwn, nid i gais unigol.

Os yw prawf yn dangos dau allanfa wahanol, chwiliwch am ddwy sesiwn ar wahân yn hytrach nag un opsiwn cyfrwys. Mae’r gwahaniaeth hwnnw hefyd yn esbonio pam y gall prawf porwr a phrawf lawrlwytho anghytuno pan fu ailgysylltu rhyngddynt.

Ar gyfer beth y mae remote-random-hostname

Mae ail orchymyn ag enw tebyg yn newid yr enw gwesteiwr a ddefnyddir ar gyfer datrys, nid trefn y rhestr remote. Mae’n bodoli ar gyfer gosodiadau lle mae enw’n datrys i sawl cyfeiriad trwy DNS round-robin, ac ni ddylid ei ddefnyddio ond pan fo’r gwasanaeth wedi’i adeiladu ar ei gyfer. Dim ond y cam datrys sy’n newid; nid yw trefn y rhestr ymgeiswyr yn newid.

Mae ei alluogi am fod yr enwau’n edrych yn gysylltiedig yn gamgymeriad cyffredin. Bydd tystysgrif wildcard neu gynllun DNS nad yw’n disgwyl yr enw addasedig yn methu’n syml â datrys neu â dilysu.

Darllenwch y penelin a ddewiswyd o’r log

Cofnodwch pa gymar a ddefnyddiodd sesiwn mewn gwirionedd cyn dod i gasgliadau. Mae allbwn manwl yn enwi’r cyfeiriad sy’n cael ei brofi, ac mae’r proffil ei hun yn dangos faint o ymgeiswyr sydd. Cymharwch y cyfrif hwnnw â’r cyfeiriad yn y log cyn beio’r cymysgu.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Ar gyfer cymharu perfformiad, pinwch y penelin trwy roi’r remots eraill yn sylw fel mai’r newidyn a brofir yw’r protocol neu’r cleient yn hytrach na’r llwybr. Ar gyfer cwestiwn preifatrwydd, gwerthuswch hunaniaeth y gwasanaeth a’i gofnodi fel cyfan; nid yw dewis cyntaf cymysg yn clirio cwcis, yn tynnu mewngofnod i gyfrif nac yn gwneud dau weithredwr yn gyfartal.

Cadwch y deunydd ymddiriedaeth a gyflenwir a’r set penelin a gefnogir gyda’i gilydd. Dim ond y drefn y rhoddir cynnig ar y set honno y mae ailosod y cymysgu yn ei newid.