OpenVPN remote-random: segatud järjekord, üks tunnel

Eeldus on, et remote-random lisamine muudab profiili pöörlevaks valikuks, nii et iga ühendus tuleb erinevalt aadressilt. Mida direktiiv tegelikult teeb: see segab remote'ide loendi üks kord, kui klient ühendust looma hakkab, ja proovib neid siis selles uues järjekorras. Tunnel, mis lõpuks püsti tõuseb, lõpeb ikkagi ühes lõpp-punktis ja jääb sinna kogu sessiooni elueaks.

See erinevus on oluline nii testimise kui ka privaatsusväidete jaoks.

Mida valik ühenduse loomisel muudab

Kliendi profiil võib sisaldada mitut remote rida, igal oma hostinimi ja port. Ilma direktiivita proovitakse neid faili järjekorras; sellega permuteeritakse loend üks kord sessiooni alguses ja võidab esimene aadress, mis vastab. Ülejäänud jäävad selle katse varuvariantideks, mitte paralleelseteks teedeks. Ühe remote'iga profiil ei anna direktiivile midagi segada, ja see on kiireim viis näha, kas sellel võib üldse tähtsust olla.

OpenVPN-i käsiraamat dokumenteerib valiku ühenduskatsete järjekorda mõjutavana, ja täpselt sellist ulatust tulebki käitumises oodata.

Uuesti ühendamine alustab uue valikutsükli, nii et hilisem sessioon võib maanduda mujal. Töötav tunnel ei liigu, kuni see püsti on.

Müüt: iga päring saab uue serveri

Pärast loomist kannab tunnel kogu selle sessiooni liikluse valitud partnerini. Päringupõhist uuestivalikut ei ole ja direktiiv ei ole üksikühenduste koormusjaotur: see segab kandidaate, mitte ei jaota pakette. Iga rakendus, mis seda tunnelit jagab, jagab ka sama partnerit. Mida iganes brauser oma väljundi kohta teatab, kuulub sessioonile, mitte üksikule päringule.

Kui test näitab kahte erinevat väljundit, otsi kahte eraldi sessiooni, mitte üht nutikat valikut. See erinevus selgitab ka seda, miks brauseritest ja allalaadimistest võivad lahkneda, kui nende vahel toimus uuesti ühendamine.

Milleks on remote-random-hostname

Sarnase nimega teine direktiiv muudab lahendamiseks kasutatavat hostinime, mitte remote-loendi järjekorda. See on mõeldud kasutuselevõttudele, kus nimi lahendatakse round-robin DNS-i kaudu mitmeks aadressiks, ja seda tuleks kasutada ainult siis, kui teenus on selle jaoks ehitatud. Muutub ainult lahendamise samm; kandidaatide loendi järjekord mitte.

Selle lubamine seetõttu, et nimed tunduvad seotud, on tavaline viga. Metamärgiga sertifikaat või DNS-i paigutus, mis muudetud nime ei eelda, lihtsalt ei suuda seda lahendada ega valideerida.

Loe valitud lõpp-punkt logist

Pane kirja, millist partnerit sessioon tegelikult kasutas, enne järelduste tegemist. Üksikasjalik väljund nimetab proovitava aadressi ja profiil ise näitab, kui palju kandidaate on. Võrdle seda arvu logis oleva aadressiga, enne kui segamist süüdistad.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Jõudluse võrdlemiseks kinnita lõpp-punkt, kommenteerides välja teised remote'id, et testitav muutuja oleks protokoll või klient, mitte tee. Privaatsusküsimuse jaoks hinda teenuse identiteeti ja logimist tervikuna; segatud esimene valik ei kustuta küpsiseid, ei eemalda kontole sisselogimist ega muuda kahte operaatorit samaväärseks.

Hoia kaasasolev usaldusmaterjal ja toetatud lõpp-punktide hulk koos. Ümbersegamine muudab ainult järjekorda, milles seda hulka proovitakse.