OpenVPN remote-random: orden mezclado, un solo túnel

La suposición es que añadir remote-random convierte un perfil en un grupo rotatorio, de modo que cada conexión sale desde una dirección distinta. Lo que hace en realidad la directiva es mezclar la lista de remotos una vez, cuando el cliente empieza a conectar, y luego probarlos en ese nuevo orden. El túnel que finalmente se levanta sigue terminando en un único extremo y se queda allí durante toda la vida de la sesión.

Esa diferencia importa tanto para las pruebas como para las afirmaciones de privacidad.

Qué cambia la opción al conectar

Un perfil de cliente puede llevar varias líneas remote, cada una con su propio nombre de host y puerto. Sin la directiva se prueban en el orden del archivo; con ella, la lista se permuta una vez al inicio de la sesión y gana la primera dirección que responde. Las demás quedan como alternativas para este intento, no como rutas paralelas. Un perfil con un solo remoto no da nada que mezclar a la directiva, y esa es la forma más rápida de ver si puede importar.

El manual de OpenVPN documenta la opción como influyente en el orden de los intentos de conexión, y ese es exactamente el alcance que cabe esperar en el comportamiento.

Una reconexión inicia un nuevo ciclo de selección, así que una sesión posterior puede acabar en otro sitio. El túnel activo no se mueve mientras está levantado.

Mito: cada petición obtiene un servidor nuevo

Una vez establecido, el túnel lleva todo el tráfico de esa sesión al par elegido. No hay reselección por petición, y la directiva no es un balanceador de carga para conexiones individuales: mezcla candidatos, no reparte paquetes. Cada aplicación que comparte ese túnel comparte el mismo par. Lo que un navegador informe sobre su salida pertenece a la sesión, no a una petición individual.

Si una prueba muestra dos salidas distintas, busca dos sesiones separadas en lugar de una opción ingeniosa. Esa distinción también explica por qué una prueba de navegador y una prueba de descarga pueden discrepar cuando entre ellas ocurrió una reconexión.

Para qué sirve remote-random-hostname

Una segunda directiva con un nombre parecido cambia el nombre de host usado para la resolución, no el orden de la lista de remotos. Existe para despliegues en los que un nombre se resuelve en varias direcciones mediante DNS de round-robin, y solo debe usarse cuando el servicio está construido para ello. Solo cambia el paso de resolución; el orden de la lista de candidatos no.

Activarla porque los nombres parecen relacionados es un error habitual. Un certificado comodín o una disposición de DNS que no espera el nombre modificado simplemente no resolverá o no validará.

Lee el extremo seleccionado del registro

Anota qué par usó realmente una sesión antes de sacar conclusiones. La salida detallada nombra la dirección que se está probando, y el propio perfil muestra cuántos candidatos existen. Compara ese recuento con la dirección del registro antes de culpar a la mezcla.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Para una comparación de rendimiento, fija el extremo comentando los demás remotos, de modo que la variable bajo prueba sea el protocolo o el cliente y no la ruta. Para una cuestión de privacidad, evalúa la identidad del servicio y su registro en conjunto; una primera elección mezclada no borra las cookies, no elimina el inicio de sesión de la cuenta ni hace equivalentes a dos operadores.

Mantén juntos el material de confianza entregado y el conjunto de extremos compatibles. La mezcla solo cambia el orden en que se prueba ese conjunto.