Parearen helbidea saioaren erdian aldatu da: zer egiten du OpenVPN-eko float-ek

Ordenagailu eramangarria bulegoko Wi-Fi-tik telefonoaren hotspot-era pasatzen da, tunelak segundo batzuk gehiago irauten du, eta gero trafikoa gelditzen da interfazeak oraindik konektatuta dagoela dioen bitartean. Zerbitzarian, egoera-zerrendak helbide publiko zaharra erakusten jarraitzen du. float existitzen den egoera da hau, eta, aldi berean, jendeak egiten duena baino askoz gehiago espero duen egoera. Muga ondo ulertzeak geldialdi nahasia edo lerro bakarreko konfigurazio-aldaketa bihurtzen du, edo erabat bestelako ikerketa bat.

Zer lasaitzen duen float-ek, eta zer ez duen inoiz lasaitzen

Normalean saio batek hasi zen kanpoko helbide eta atakarekin hitz egiten jarraitzen du, eta beste edozein lekutatik iristen diren paketeak alde batera uzten dira. float aukerak lotura zorrotz hori kentzen du pareak bere burua frogatu ondoren, beraz aldatu den iturburu-mapaketak saio bera jarraitu dezake baztertua izan beharrean. Kriptografia-egiaztapenetan ezer ez da aldatzen: gakoak, ziurtagiriak eta edozein HMAC babes konfiguratuta dauden bezala geratzen dira.

Pakete bakoitzeko erabakia da, ez nor konektatu daitekeenari buruzko politika. Helbide berri batetik paketea bidaltzen duen makina ezezagunak ez du ezer frogatu, eta bere paketea autentifikatu gabeko beste edozein trafiko bezala baztertzen da. Saioaren beraren autentifikazioa gainditzen duen trafikoak soilik mugi dezake erregistratutako parearen helbidea, eta horregatik segurua da float piztuta uztea bezeroak mugitzen diren inguruneetan.

Barne-tunelari buruz ere ez du ezer esaten. Mugitutako kanpoko helbide batek ez dio tunel-helbiderik berriro esleitzen, ez du pool-a aldatzen eta ez dio pareari zerbait berritarako sarbiderik ematen. Tunelaren barruan, identitate bera eta bultzatutako bide berak aplikatzen dira mugimenduaren aurretik eta ondoren. Mugitzeak ez du datu-kanala berriro negoziatzen ere, beraz negoziatutako zifratzea eta gakoak jarraitzen dute.

Saioa mugitzen duen paketeak autentifikatu behar du

Hasi saio bat ohiko moduan konfiguratutako urruneko muturraren aurka, eta float-ek kudeatzen du mapaketa aldatzen denean gertatzen dena. Fluxuaren erdian zenbakia aldatzen duen operadore mugikorrak, ataka-mapaketa berridazten duen NAT atebideak edo goiko esteka aldatzen duen eramangarriak forma bera sortzen dute: tupla berri batetik autentifikatutako paketeak, oraindik zaharra den saio batera iristen direnak.

float funtzionatzen duen galdetzen dutenean, froga erabilgarria osatutako esku-emate bat eta ondoren onartutako iturburu-aldaketa bat da, ez helbideari buruzko log lerro bat soilik. Erlazionatu kanpoko helbide zaharra eta berria bizirik iraun zuen saioarekin, eta gero baieztatu trafikoak tunelaren bidez jarraitu zuela.

Saioa mugitu beharrean hiltzen bada, helbide berritik iritsi zen paketeak ziurrenik autentifikazioan huts egin zuen edo ez zen batere iritsi. Bi kasuak berdinak dirudite bezeroaren ikuspegitik. Zerbitzarian, interfaze publikoan egindako harrapaketa batek zein duzun esaten dizu edozein konfigurazio ukitu baino lehen.

Aurkikuntza erabat bereizitako mekanismoa da

float-ek ez ditu izenak tenporizadorez ebazten eta ez du DNS erregistro dinamikorik jarraitzen. Zerbitzariaren ostalari-izena helbide berri batera ebazten hasten bada, alferrikako bezeroak ez du hori nabaritzeko arrazoirik eta ez du mutur berritik autentifikatzeko paketerik. Arazo hori berriro konektatzeko logikari, bezeroaren beraren berriro saiatzeko jokaerari eta DNS-ari dagokio, ez float-ari.

Aukera behin gehiago gehitzeak ezin du helbide berrira biderik ez izatea konpentsatu. Ez du laguntzen pareak isilik dagoenean ere, isilik dagoen pareak ez baitu inoiz ezer mugituko lukeen pakete autentifikaturik bidaltzen.

Azpiko suebakiak ere badu hitza. Kanpoko mutur zaharra soilik uzten duen arau batek aldatu den helbidea blokeatzen du OpenVPN programak ikusi aurretik, eta bezeroaren aldeko konfigurazioak ez du hori konpontzen. Berrikusi baimendutako helbideen bizi-zikloa zeregin bereizi gisa; araua edozein iturburutara zabaltzeak arazo txiki bat handi bategatik trukatzen du.

NetworkManager profilaren jabe denean

Komando-lerroko profila eta inportatutako konexioa konfigurazio bereiziak dira, eta bat editatu besteari ez dio ukitzen. Aukera onartzen ez dela suposatu aurretik, zehaztu gordetako profilek benetan zer plugin mota erabiltzen duen eta non bizi diren bere balioak. Profilaren UUID da edozer ikuskatzean edo aldatzean garrantzia duen identifikatzailea.

Ikuskatu gordetako konexioa jatorrizko inportazio-fitxategia ez ezik. .ovpn fitxategi batean bizirik irauten duen lerro batek ez du ezer frogatzen kudeatzaile aktiboak inoiz aplikatu ez badu, eta aukera jakin baterako kontrol-laukiarik ez duen editore batek ere ez du ezer frogatzen protokoloaren gaitasunei buruz.

Ez adabaki plugin paketatu bat jokabidea gehitzeko, batez ere erlazionatuta ez dagoen osagai baten bertsio historiko baterako idatzitako diff batekin. Instalatutako integrazioak benetan ezin badu ezarpena adierazi, urrats zuzena onartutako profil bat edo instalakuntzaren jabeak onetsitako bezero-bide desberdin bat da.

Frogatu trantsizioa, ez suposatu

Exekutatu proba hutsegitea gertatzen den moduan. Konektatu, egiaztatu trafikoa tunelaren bidez, behartu kanpoko helbidea aldatzea, eta gero egiaztatu hiru gauza: saioa oraindik existitzen da, erregistratutako parearen helbidea mugitu da, eta eskaera erreal batek oraindik helburua lortzen du. Hirurak baino gutxiago erantzun partziala da.

Mantendu berreskuratze-sarbidea eskuragarri probatzen duzun bitartean, mugikortasun-probek uzten zaituen makina bertan behera uzteko ohitura baitute. Serie-kontsol batek edo banda-z kanpoko bide batek huts egindako proba bost minutuko berreskurapen bihurtzen du, tokiko bisita baten ordez.

Azkenik, deskribatu praktikatu duzun kasua soilik. Saio batean helbide-aldaketa arrakastatsu batek ez du frogatzen DNS migrazioek, beste bezero-inplementazio batek edo berreraikitako profilek berdin jokatuko dutenik. link-options dokumentazioak zehatz-mehatz ezartzen du aukeraren irismena; zure proba-erregistroak adierazi behar du irismen horren zein zati estali duzun benetan.