Cyfeiriad y cyfoed yn newid yng nghanol sesiwn: beth y mae float yn OpenVPN yn ei wneud

Mae'r gliniadur yn symud o Wi-Fi y swyddfa i fan cychwyn ffôn, mae'r twnnel yn dal i fyny am ychydig eiliadau eto, ac yna mae'r traffig yn stopio tra bod y rhyngwyneb yn dal i honni ei fod wedi'i gysylltu. Ar y gweinydd, mae'r rhestr statws yn dal i ddangos yr hen gyfeiriad cyhoeddus. Dyma'r sefyllfa y mae float yn bodoli ar ei chyfer, a dyma hefyd y sefyllfa lle mae pobl yn disgwyl iddo wneud llawer mwy nag y mae'n ei wneud. Mae cael y ffin yn iawn yn troi oedi dryslyd naill ai'n newid ffurfweddu un llinell neu'n ymchwiliad hollol wahanol.

Beth y mae float yn ei lacio, a beth ni lacia byth

Fel arfer mae sesiwn yn parhau i siarad â'r cyfeiriad allanol a'r porth y dechreuodd â nhw, ac mae pecynnau sy'n cyrraedd oddi wrth unrhyw le arall yn cael eu hanwybyddu. Mae'r opsiwn float yn dileu'r rhwymiad caeth hwnnw unwaith y mae'r cyfoed eisoes wedi profi ei hun, fel y gall mapio ffynhonnell sydd wedi newid barhau'r un sesiwn yn hytrach na chael ei ollwng. Nid oes dim yn y gwiriadau cryptograffig yn newid: mae allweddi, tystysgrifau ac unrhyw amddiffyniad HMAC yn aros yn union fel y'u ffurfweddwyd.

Mae hyn yn benderfyniad fesul pecyn, nid yn bolisi ynglŷn â phwy gaiff gysylltu. Nid yw peiriant anhysbys sy'n anfon pecyn o gyfeiriad newydd wedi profi dim, ac mae ei becyn yn cael ei daflu fel unrhyw draffig heb ei ddilysu. Dim ond traffig sy'n mynd trwy ddilysiad y sesiwn ei hun all symud y cyfeiriad cyfoed a gofnodwyd, a dyna pam mae'n ddiogel gadael float ymlaen mewn amgylcheddau lle mae cleientiaid yn crwydro.

Nid yw'n dweud dim am y twnnel mewnol chwaith. Nid yw cyfeiriad allanol sydd wedi symud yn ailddyrannu cyfeiriad twnnel, yn newid y pwll nac yn rhoi mynediad i'r cyfoed at rywbeth newydd. Y tu mewn i'r twnnel, mae'r un hunaniaeth a'r un llwybrau a wthiwyd yn berthnasol cyn ac ar ôl y symudiad. Nid yw crwydriad yn ailnegodi'r sianel ddata chwaith, felly mae'r seiffr a'r allweddi a negodwyd yn parhau.

Rhaid i'r pecyn sy'n symud sesiwn ddilysu

Dechreuwch sesiwn yn y ffordd arferol yn erbyn y pen pell a ffurfweddwyd, ac mae float yn ymdrin â'r hyn sy'n digwydd pan fydd y mapio'n newid. Mae gweithredwr symudol sy'n ailrifo yng nghanol y llif, porth NAT sy'n ailysgrifennu ei fapio porth, neu liniadur sy'n newid ei gyswllt i fyny i gyd yn cynhyrchu'r un siâp: pecynnau dilys o bwyth newydd, yn cyrraedd sesiwn sy'n dal i gredu yn yr hen un.

Pan ofynnir a yw float yn gweithio, yr dystiolaeth ddefnyddiol yw ysgwyd llaw wedi'i gwblhau yn dilyn newid ffynhonnell a dderbyniwyd, nid llinell log am y cyfeiriad yn unig. Cysylltwch yr hen a'r newydd gyfeiriad allanol â'r sesiwn a arhosodd yn fyw, ac yna cadarnhewch fod y traffig wedi parhau drwy'r twnnel mewn gwirionedd.

Os yw'r sesiwn yn marw yn hytrach na symud, mae'r pecyn a gyrhaeddodd o'r cyfeiriad newydd mwy na thebyg wedi methu dilysu neu heb gyrraedd o gwbl. Mae'r ddau achos yn edrych yn union yr un fath o safbwynt y cleient. Ar y gweinydd, mae dal ar y rhyngwyneb cyhoeddus yn dweud wrthych pa un sydd gennych cyn i chi gyffwrdd ag unrhyw ffurfwedd.

Mae darganfod yn fecanwaith hollol ar wahân

Nid yw float yn datrys enwau ar amserydd ac nid yw'n olrhain cofnod DNS deinamig. Os bydd enw gwesteiwr y gweinydd yn dechrau datrys i gyfeiriad newydd, nid oes gan gleient segur unrhyw reswm i sylwi ac nid oes ganddo becyn o'r pen terfyn newydd i'w ddilysu. Mae'r broblem honno'n perthyn i resymeg ailgysylltu, i ymddygiad ailgynnig y cleient ei hun, ac i DNS, nid i float.

Ni all ychwanegu'r opsiwn unwaith eto wneud iawn am fod heb lwybr i'r cyfeiriad newydd. Ni all helpu chwaith pan fo'r cyfoed yn dawel, oherwydd nid yw cyfoed distaw byth yn anfon y pecyn dilys a fyddai'n symud unrhyw beth.

Mae gan y mur tân tanodd lais hefyd. Mae rheol sy'n caniatáu'r hen ben terfyn allanol yn unig yn blocio'r cyfeiriad newidiedig cyn i OpenVPN ei weld o gwbl, ac nid oes unrhyw faint o ffurfweddu cleient yn trwsio hynny. Adolygwch gylch bywyd y cyfeiriadau a ganiateir fel tasg ar wahân; mae lledu'r rheol i unrhyw ffynhonnell yn cyfnewid problem fach am un fawr.

Pan fo NetworkManager yn berchen ar y proffil

Mae proffil llinell orchymyn a chysylltiad a fewnforiwyd yn ffurfweddiadau ar wahân, ac nid yw golygu un yn cyffwrdd y llall. Cyn tybio nad yw'r opsiwn yn cael ei gefnogi, sefwch pa fath o ategyn y mae'r proffil a gadwyd mewn gwirionedd yn ei ddefnyddio a ble mae ei werthoedd yn byw. UUID y proffil yw'r dynodwr sy'n bwysig pan fyddwch yn archwilio neu'n addasu unrhyw beth.

Archwiliwch y cysylltiad a gadwyd yn hytrach na'r ffeil fewnforio wreiddiol. Nid yw llinell sy'n goroesi mewn ffeil .ovpn yn profi dim os na chafodd ei chymhwyso gan y rheolwr gweithredol, ac nid yw golygydd heb flwch ticio ar gyfer opsiwn penodol yn profi dim am alluoedd y protocol chwaith.

Peidiwch â chlytio ategyn pecynnog i ychwanegu'r ymddygiad, yn enwedig nid â diff a ysgrifennwyd ar gyfer fersiwn hanesyddol o gydran amherthnasol. Os na all y integreiddiad sydd wedi'i osod fynegi'r gosodiad mewn gwirionedd, y cam cywir yw proffil a gefnogir neu lwybr cleient gwahanol a gymeradwywyd gan bwy bynnag sy'n berchen ar y defnydd.

Profwch y trosglwyddiad yn hytrach na'i dybio

Rhedwch y prawf yn y ffordd y mae'r methiant yn digwydd. Cysylltwch, gwiriwch draffig drwy'r twnnel, gorfodwch y cyfeiriad allanol i newid, ac yna gwiriwch dri pheth: mae'r sesiwn yn dal i fodoli, mae'r cyfeiriad cyfoed a gofnodwyd wedi symud, ac mae cais gwirioneddol yn dal i gyrraedd ei gyrchfan. Mae unrhyw beth yn llai na'r tri yn ateb rhannol.

Cadwch fynediad adfer ar gael wrth i chi brofi, oherwydd mae arfer gan arbrofion crwydro i adael y peiriant rydych chi'n gweithio ohono yn sownd. Mae consol cyfresol neu lwybr alltrawst yn troi prawf aflwyddiannus yn adferiad pum munud yn lle ymweliad safle.

Yn olaf, disgrifiwch yn unig yr achos a ymarferwyd gennych. Nid yw newid cyfeiriad llwyddiannus yn ystod sesiwn yn dystiolaeth y bydd mudo DNS, gweithrediad cleient gwahanol, neu broffil wedi'i ailadeiladu yn ymddwyn yr un fath. Mae dogfennaeth link-options yn datgan cwmpas yr opsiwn yn fanwl; dylai eich log prawf ddweud pa ran o'r cwmpas hwnnw a orchuddiasoch mewn gwirionedd.