Partneri aadress muutus keset seanssi: mida OpenVPN float teeb

Sülearvuti liigub kontori Wi-Fist telefoni hotspotti, tunnel püsib veel paar sekundit, ja siis liiklus peatub, samal ajal kui liides väidab endiselt, et on ühendatud. Serveris näitab olekuloend jätkuvalt vana avalikku aadressi. See on olukord, mille jaoks float olemas on, ja see on ka olukord, kus inimesed ootavad sellelt palju rohkem, kui see teeb. Piiri õige mõistmine muudab segase seiskumise kas üherealiseks konfiguratsioonimuudatuseks või hoopis teistsuguseks uurimiseks.

Mida float lõdvendab ja mida see kunagi ei lõdvenda

Tavaliselt jätkab seanss suhtlemist välise aadressi ja pordiga, millega see algas, ning mujalt saabuvaid pakette eiratakse. Valik float eemaldab selle range sidumise, kui partner on end juba tõestanud, nii et muutunud lähtekaardistus saab sama seanssi jätkata, selle asemel et ära visata. Krüptograafilistes kontrollides ei muutu midagi: võtmed, sertifikaadid ja mis tahes HMAC-kaitse jäävad täpselt nii, nagu on konfigureeritud.

See on otsus iga paketi kohta, mitte poliitika selle kohta, kes tohib ühenduda. Tundmatu masin, mis saadab paketi uuelt aadressilt, ei ole midagi tõestanud ja selle pakett visatakse ära nagu iga teine autentimata liiklus. Ainult liiklus, mis läbib seansi enda autentimise, saab salvestatud partneri aadressi liigutada, ja seetõttu on ohutu jätta float sisse lülitatuks keskkondades, kus kliendid rändavad.

See ei ütle midagi ka sisemise tunneli kohta. Liigutatud väline aadress ei määra tunneliaadressi uuesti, ei muuda basseini ega anna partnerile juurdepääsu millelegi uuele. Tunneli sees kehtivad enne ja pärast liikumist sama identiteet ja samad lükatud marsruudid. Rändamine ei konsulteeri uuesti ka andmekanalit, seega kokku lepitud šiffer ja võtmed jätkuvad.

Seanssi liigutav pakett peab end autentima

Alustage seanssi tavapärasel viisil konfigureeritud kaugpunkti vastu ja float tegeleb sellega, mis juhtub, kui kaardistus muutub. Mobiilioperaator, mis voolu keskel ümber nummerdab, NAT-lüüs, mis oma pordikaardistuse ümber kirjutab, või sülearvuti, mis üleslüli vahetab, annavad kõik sama kuju: autenditud paketid uuest korteežist, mis saabuvad seanssi, mis usub veel vanasse.

Kui küsitakse, kas float töötab, on kasulik tõend lõpule viidud kätlemine, millele järgneb vastuvõetud lähtemuudatus, mitte logirida ainult aadressi kohta. Siduge vana ja uus väline aadress seansiga, mis ellu jäi, ja kinnitage seejärel, et liiklus tõepoolest tunneli kaudu jätkus.

Kui seanss sureb selle asemel, et liikuda, siis uuelt aadressilt saabunud pakett tõenäoliselt ei läbinud autentimist või ei saabunud üldse. Mõlemad juhtumid näevad kliendi poolt identsed välja. Serveris ütleb püünis avalikul liidesel, kumb neist teil on, enne kui te ükskõik millist konfiguratsiooni puudutate.

Avastamine on täiesti eraldi mehhanism

float ei lahenda nimesid taimeri järgi ega jälgi dünaamilist DNS-kirjet. Kui serveri hostinimi hakkab lahenema uueks aadressiks, ei ole jõudeoleval kliendil põhjust seda märgata ega uuelt otspunktilt paketti, mida autentida. See probleem kuulub uuestiühendumise loogika, kliendi enda korduskatse käitumise ja DNS-i juurde, mitte floati juurde.

Valiku veel kord lisamine ei kompenseeri marsruudi puudumist uue aadressini. See ei aita ka siis, kui partner vaikib, sest vaikiv partner ei saada kunagi autenditud paketti, mis midagi liigutaks.

Alumisel tulemüüril on samuti sõna. Reegel, mis lubab ainult vana välist otspunkti, blokeerib muutunud aadressi enne, kui OpenVPN seda üldse näeb, ja ükski kliendipoolne konfiguratsioon ei paranda seda. Vaadake lubatud aadresside elutsükkel eraldi ülesandena üle; reegli laiendamine mis tahes allikale vahetab väikese probleemi suure vastu.

Kui NetworkManager omab profiili

Käsureaprofiil ja imporditud ühendus on eraldi konfiguratsioonid ning ühe muutmine ei puuduta teist. Enne kui eeldada, et valikut ei toetata, tehke kindlaks, millist pistikprogrammi tüüpi salvestatud profiil tegelikult kasutab ja kus selle väärtused elavad. Profiili UUID on identifikaator, mis loeb, kui te midagi kontrollite või muudate.

Kontrollige salvestatud ühendust, mitte algset impordifaili. Rida, mis .ovpn-failis alles jääb, ei tõesta midagi, kui aktiivne haldur seda kunagi ei rakendanud, ja redaktor, millel pole antud valiku jaoks märkeruutu, ei tõesta samuti midagi protokolli võimaluste kohta.

Ärge lappige pakendatud pistikprogrammi käitumise lisamiseks, eriti mitte diffiga, mis on kirjutatud mitteseotud komponendi ajaloolise versiooni jaoks. Kui paigaldatud integratsioon tõesti ei suuda seda seadet väljendada, on õige samm toetatud profiil või teine klienditee, mille on heaks kiitnud juurutuse omanik.

Tõestage üleminekut, mitte ärge eeldage seda

Viige test läbi nii, nagu rike juhtub. Ühenduge, kontrollige liiklust läbi tunneli, sundige välist aadressi muutuma ja seejärel kontrollige kolme asja: seanss on endiselt olemas, salvestatud partneri aadress on liikunud ja tegelik päring jõuab endiselt sihtkohta. Kõigest kolmest vähem on osaline vastus.

Hoidke taastamispääs testides kättesaadav, sest rändekatsetel on komme jätta masin, millelt te töötate, kinni. Jadaport või ribaväline marsruut muudab ebaõnnestunud testi viie minuti taastamiseks kohapealse visiidi asemel.

Lõpuks kirjeldage ainult seda juhtumit, mida te proovisite. Edukas aadressimuudatus seansi ajal ei ole tõend selle kohta, et DNS-migratsioonid, teine kliendiimplementatsioon või ümberehitatud profiil käituvad samamoodi. link-optionsi dokumentatsioon märgib valiku ulatuse täpselt; teie testilogi peaks ütlema, millise osa sellest ulatusest te tegelikult katsite.