Πολλαπλά OpenVPN: λίστα failover, όχι σύνδεση ζεύξεων

Δύο γραμμές remote σε ένα προφίλ μοιάζουν με δεύτερη λωρίδα· είναι δεύτερη προσπάθεια. Όταν το πρώτο endpoint σταματήσει να απαντά, ο πελάτης προχωρά και η συνεδρία δεν γίνεται φαρδύτερη. Ονομάστε τη λίστα failover νωρίς, αλλιώς θα ρυθμίζετε το λάθος κουμπί.

Τι σας δίνει μια λίστα remote

Δείτε το προφίλ ως διατεταγμένο σύνολο προσπαθειών, όχι ως δεξαμενή χωρητικότητας. Κάθε καταχώρηση παίρνει τη σειρά της για να σηκώσει το τούνελ και η συνεδρία ζει σε όποια απάντησε. Μια μεγαλύτερη λίστα βελτιώνει τις πιθανότητες σύνδεσης, όχι το μέγεθος του σωλήνα.

Η πραγματική συνάθροιση είναι άλλη μηχανή. Ο διαμοιρασμός μιας ροής σε πολλές διαδρομές απαιτεί λογισμικό και στα δύο άκρα για να μοιράσει και να ξανασυναρμολογήσει την κίνηση με σειρά.

Ένας προμηθευτής που υπόσχεται ταχύτερα τούνελ από περισσότερους διακομιστές πουλά ακριβώς αυτό το δεύτερο μοντέλο, όχι μια μεγαλύτερη λίστα. Αν ο πελάτης δοκιμάζει τα endpoints μόνο με τη σειρά, πέντε καταχωρήσεις αλλάζουν τις πιθανότητές σας και τίποτε άλλο. Παρακολουθήστε μια διακοπή: η συνεδρία πέφτει και επιστρέφει αλλού, κάτι που το αρχείο καταγραφής δείχνει ως νέο endpoint, ποτέ ως φαρδύτερο σωλήνα.

Μπλοκ που κρατούν ρυθμίσεις με ένα endpoint

Μια απλή γραμμή remote μεταφέρει διεύθυνση, και μερικές φορές θύρα και πρωτόκολλο. Όταν ένα endpoint χρειάζεται διαμεσολαβητή ή μεταφορά που δεν χρησιμοποιεί το υπόλοιπο αρχείο, βάλτε αυτές τις ρυθμίσεις σε ένα μπλοκ σύνδεσης που τις κρατά μαζί του. Τα ενσωματωμένα μπλοκ λειτουργούν και σε ένα αρχείο .ovpn, και έτσι διανέμονται τα περισσότερα προφίλ.

Ό,τι βρίσκεται έξω από ένα μπλοκ λειτουργεί ως προεπιλογή για καταχωρήσεις που δεν το παρακάμπτουν. Γι’ αυτό ένα χτισμένο μπλοκ και τέσσερα απλά remote συμπεριφέρονται με τρόπους που η λίστα διευθύνσεων δεν μπορεί να εξηγήσει.

Η διαγραφή ενός μπλοκ που δεν αναγνωρίζετε δεν είναι καλλωπισμός. Το endpoint στο οποίο ανήκε επιστρέφει στις προεπιλογές του αρχείου, που μπορεί να είναι διαφορετική μεταφορά από αυτήν στην οποία ακούει. Αφαιρέστε το λάθος περιτύλιγμα και μία καταχώρηση αποτυγχάνει ενώ οι υπόλοιπες δουλεύουν, ώστε να μοιάζει με κακό διακομιστή και όχι με σπασμένο προφίλ. Διαβάστε κάθε remote μαζί με τη μεταφορά, τη θύρα και τον διαμεσολαβητή του πριν επεξεργαστείτε.

Σειρά επαναλήψεων και το κόστος του remote-random

Η σειρά μετράει επειδή κάθε νεκρή καταχώρηση κοστίζει χρόνο πριν την επόμενη προσπάθεια. Βάλτε πρώτο το endpoint που θέλετε και δείτε τα υπόλοιπα ως ιεραρχημένα εφεδρικά.

Το remote-random ανακατεύει την αρχική σειρά, κάτι που μοιράζει το φορτίο σε ισοδύναμους διακομιστές και γυρίζει μπούμερανγκ όταν ένα endpoint είναι σαφώς κύριο. Όπως και να έχει, καταγράψτε το endpoint που επέλεξε ο πελάτης· το όνομα του προφίλ δεν λέει τίποτα όταν μια σύνδεση φαίνεται αργή. Το grep της γραμμής σύνδεσης από ένα αναλυτικό αρχείο καταγραφής δείχνει πού προσγειώθηκε η συνεδρία.

Η ανάμιξη παρόχων σπάει τη δήλωση εμπιστοσύνης

Ένα προφίλ είναι επίσης ισχυρισμός ταυτότητας: αυτές οι διευθύνσεις είναι η υπηρεσία που θέλατε να φτάσετε, και το καρφιτσωμένο πιστοποιητικό ανήκει σε αυτήν. Η ρίψη δωρεάν δημόσιων διακομιστών σε αυτό το αρχείο σπάει τον ισχυρισμό: τα πιστοποιητικά τους και το δικό σας περιγράφουν διαφορετικές υπηρεσίες. Το συνηθισμένο αποτέλεσμα είναι αποτυχία ταυτότητας ή διαπιστευτήρια που προσφέρονται σε κεντρικό υπολογιστή έξω από το δίκτυο του παρόχου σας. Κρατήστε τις εναλλακτικές μέσα στο σύνολο που διανέμει ο πάροχός σας, με αντίστοιχα διαπιστευτήρια και υλικό εμπιστοσύνης.

Αν χρειάζεστε endpoints από δύο παρόχους, αυτό είναι δρομολόγηση, όχι επεξεργασία προφίλ. Απαντήστε το πάνω από το τούνελ, όπου μπορείτε να πείτε ποια κίνηση παίρνει ποια διαδρομή.

Δοκιμάστε κάθε καταχώρηση αντί να υποθέτετε

Μετά από εγκεκριμένη ενημέρωση προφίλ, συνδεθείτε σκόπιμα σε κάθε απαιτούμενο endpoint και επιβεβαιώστε ποια μεταφορά ανέβηκε. Μια αναλυτική εκτέλεση το κάνει ορατό. Ξεκινήστε openvpn --config office.ovpn --verb 4 και διαβάστε τη γραμμή σύνδεσης για τη διεύθυνση που περιμένατε. Στη συνέχεια ελέγξτε τους πόρους πίσω από το τούνελ· μια καταχώρηση μπορεί να ολοκληρώσει τη χειραψία και παρ’ όλα αυτά να μη σας δρομολογήσει πουθενά.

Το failover χρειάζεται τη δική του δοκιμή αντί για ελπίδα. Αποκλείστε το πρώτο endpoint σε εργαστήριο, ξεκινήστε τον πελάτη και μετρήστε πόσο χρόνο χρειάζεται για να προχωρήσει. Μια μακρά λίστα πίσω από αργή πρώτη καταχώρηση είναι χειρότερη από μια σύντομη που ξεκινά καλά.

Ελέγχετε ξανά τη λίστα όποτε την αλλάζει ο πάροχος. Ένα εισαγόμενο σύνολο είναι χρήσιμο μόνο όσο οι καταχωρήσεις του υπάρχουν και μιλούν τη μεταφορά που περιγράφουν τα μπλοκ σας. Το εγχειρίδιο του OpenVPN 2.6 καλύπτει εδώ τις οδηγίες remote, connection και random-order, και είναι η έκδοση που πρέπει να ελέγχετε όταν η σύνταξη αμφισβητείται.