Varios remote de OpenVPN: lista de failover, no enlace de canales

Dos líneas remote en un perfil parecen una segunda vía; son un segundo intento. Cuando el primer endpoint deja de responder, el cliente pasa al siguiente y la sesión no se ensancha. Llame a la lista failover desde el principio, o ajustará el mando equivocado.

Qué le aporta una lista de remote

Trate el perfil como un conjunto ordenado de intentos, no como un fondo de capacidad. Cada entrada tiene su turno para levantar el túnel, y la sesión vive en la que respondió. Una lista más larga mejora sus probabilidades de conectar, no el tamaño de la tubería.

La agregación real es otra máquina. Dividir un flujo por varias rutas exige software en ambos extremos para repartir y reensamblar el tráfico en orden.

Un proveedor que promete túneles más rápidos con más servidores vende ese segundo modelo, no una lista más larga. Si el cliente solo prueba endpoints por turnos, cinco entradas cambian sus probabilidades y nada más. Observe una caída: la sesión cae y vuelve en otro sitio, lo que el registro muestra como un endpoint nuevo, nunca como una tubería más ancha.

Bloques que guardan la configuración con un solo endpoint

Una línea remote normal lleva una dirección y a veces un puerto y un protocolo. Cuando un endpoint necesita un proxy o un transporte que el resto del archivo no usa, meta esa configuración en un bloque de conexión que la guarde con él. Los bloques en línea también funcionan en un archivo .ovpn, y así se distribuyen la mayoría de los perfiles.

Todo lo que está fuera de un bloque actúa como valor predeterminado para las entradas que no lo sobrescriben. Por eso un bloque construido y cuatro remote simples se comportan de maneras que la lista de direcciones no puede explicar.

Borrar un bloque que no reconoce no es cosmético. El endpoint al que pertenecía vuelve a los valores predeterminados del archivo, que pueden ser un transporte distinto del que escucha. Quite la envoltura equivocada y una entrada falla mientras el resto funciona, así que parece un servidor malo y no un perfil roto. Lea cada remote con su transporte, puerto y proxy antes de editar.

Orden de reintentos y el coste de remote-random

El orden importa porque cada entrada muerta cuesta tiempo antes del siguiente intento. Ponga primero el endpoint que quiere y trate el resto como alternativas ordenadas.

remote-random baraja el orden inicial, lo que reparte la carga entre servidores equivalentes y sale mal cuando un endpoint es claramente primario. En cualquier caso, registre el endpoint que eligió el cliente; el nombre del perfil no dice nada cuando una conexión va lenta. Buscar con grep la línea de enlace en un registro detallado muestra dónde aterrizó la sesión.

Mezclar operadores rompe la declaración de confianza

Un perfil también es una afirmación sobre la identidad: estas direcciones son el servicio que quería alcanzar, y el certificado fijado le pertenece. Meter servidores públicos gratuitos en ese archivo rompe la afirmación: sus certificados y el suyo describen servicios distintos. El resultado habitual es un fallo de identidad, o credenciales ofrecidas a un host fuera de la red de su proveedor. Mantenga las alternativas dentro del conjunto que distribuye su operador, con credenciales y material de confianza coincidentes.

Si necesita endpoints de dos proveedores, eso es enrutamiento, no una edición del perfil. Resuélvalo por encima del túnel, donde puede decir qué tráfico toma qué camino.

Probar cada entrada en lugar de suponer

Tras una actualización aprobada del perfil, conéctese a cada endpoint necesario a propósito y confirme qué transporte subió. Una ejecución detallada lo hace visible. Inicie openvpn --config office.ovpn --verb 4 y lea la línea de enlace para la dirección que esperaba. Después compruebe los recursos tras el túnel; una entrada puede completar el apretón de manos y aun así no enrutarle a ninguna parte.

El failover necesita su propia prueba en lugar de una esperanza. Bloquee el primer endpoint en un laboratorio, inicie el cliente y mida cuánto tarda en pasar al siguiente. Una lista larga detrás de una primera entrada lenta es peor que una corta que empieza bien.

Vuelva a comprobar la lista siempre que el operador la cambie. Un conjunto importado solo es útil mientras sus entradas existan y hablen el transporte que describen sus bloques. El manual de OpenVPN 2.6 cubre aquí las directivas remote, connection y random-order, y es la versión que conviene consultar cuando la sintaxis es dudosa.