Useat OpenVPN-remote’t: failover-lista, ei linkkien yhdistäminen

Kaksi remote-riviä samassa profiilissa näyttävät toiselta kaistalta; ne ovat toinen yritys. Kun ensimmäinen endpoint lakkaa vastaamasta, asiakas siirtyy eteenpäin eikä istunto levene. Kutsu luetteloa failoveriksi ajoissa, tai säädät väärää nuppia.

Mitä remote-luettelo antaa sinulle

Kohtele profiilia järjestettynä yritysten joukkona, älä kapasiteetin altaana. Jokainen merkintä saa vuoronsa tunnelin pystyttämiseen, ja istunto elää sillä, joka vastasi. Pidempi luettelo parantaa yhteyden saamisen todennäköisyyttä, ei putken kokoa.

Todellinen aggregaatio on toinen kone. Yhden virtauksen jakaminen usealle polulle vaatii ohjelmistoa molemmissa päissä, jotta liikenne jaetaan ja kootaan uudelleen järjestyksessä.

Toimittaja, joka lupaa nopeampia tunneleita useammalta palvelimelta, myy juuri sitä toista mallia, ei pidempää luetteloa. Jos asiakas vain kokeilee endpointeja vuorotellen, viisi merkintää muuttaa mahdollisuuksiasi eikä mitään muuta. Seuraa katkoa: istunto putoaa ja palaa jonnekin muualle, minkä loki näyttää uutena endpointina, ei koskaan leveämpänä putkena.

Lohkot, jotka pitävät asetukset yhden endpointin luona

Tavallinen remote-rivi kantaa osoitteen ja joskus portin ja protokollan. Kun endpoint tarvitsee välityspalvelimen tai siirron, jota muu tiedosto ei käytä, laita ne asetukset yhteyslohkoon, joka pitää ne sen luona. Rivinsisäiset lohkot toimivat myös yhdessä .ovpn-tiedostossa, ja niin useimmat profiilit toimitetaan.

Kaikki lohkon ulkopuolella toimii oletuksena merkinnöille, jotka eivät ohita sitä. Siksi yksi rakennettu lohko ja neljä tavallista remote’ta käyttäytyvät tavoilla, joita osoiteluettelo ei voi selittää.

Tuntemattoman lohkon poistaminen ei ole kosmeettista. Endpoint, jolle se kuului, palaa tiedoston oletuksiin, jotka voivat olla eri siirto kuin se, jolla se kuuntelee. Poista väärä kääre, niin yksi merkintä epäonnistuu muiden toimiessa, joten se näyttää huonolta palvelimelta eikä rikkinäiseltä profiililta. Lue jokainen remote siirtoineen, portteineen ja välityspalvelimineen ennen muokkaamista.

Uudelleenyritysten järjestys ja remote-random’n hinta

Järjestyksellä on väliä, koska jokainen kuollut merkintä maksaa aikaa ennen seuraavaa yritystä. Laita haluamasi endpoint ensimmäiseksi ja kohtele muita järjestettyinä varavaihtoehtoina.

remote-random sekoittaa aloitusjärjestyksen, mikä jakaa kuormaa vastaavien palvelimien kesken ja kostautuu, kun yksi endpoint on selvästi ensisijainen. Joka tapauksessa kirjaa endpoint, jonka asiakas valitsi; profiilin nimi ei kerro mitään, kun yhteys tuntuu hitaalta. Linkkirivin greppaaminen yksityiskohtaisesta lokista näyttää, mihin istunto laskeutui.

Operaattorien sekoittaminen rikkoo luottamuslauseen

Profiili on myös väite identiteetistä: nämä osoitteet ovat se palvelu, johon halusit päästä, ja kiinnitetty varmenne kuuluu sille. Ilmaisten julkisten palvelimien heittäminen siihen tiedostoon rikkoo väitteen: niiden varmenteet ja sinun kuvaavat eri palveluita. Tavallinen seuraus on identiteettivirhe tai tunnistetiedot, jotka tarjotaan isännälle palveluntarjoajasi verkon ulkopuolella. Pidä vaihtoehdot joukossa, jota operaattorisi jakaa, vastaavine tunnistetietoineen ja luottamusmateriaaleineen.

Jos tarvitset endpointeja kahdelta palveluntarjoajalta, se on reititystä, ei profiilin muokkausta. Ratkaise se tunnelin yläpuolella, missä voit sanoa, mikä liikenne kulkee mitä polkua.

Testaa jokainen merkintä olettamisen sijaan

Hyväksytyn profiilipäivityksen jälkeen yhdistä tarkoituksella jokaiseen vaadittuun endpointiin ja varmista, mikä siirto nousi. Yksityiskohtainen ajo tekee sen näkyväksi. Käynnistä openvpn --config office.ovpn --verb 4 ja lue linkkirivi odottamallesi osoitteelle. Tarkista sitten tunnelin takaiset resurssit; merkintä voi suorittaa kättelyn loppuun ja silti ohjata sinut ei mihinkään.

Failover tarvitsee oman testinsä toivon sijaan. Estä ensimmäinen endpoint laboratoriossa, käynnistä asiakas ja mittaa, kauanko siirtyminen kestää. Pitkä luettelo hitaan ensimmäisen merkinnän takana on huonompi kuin lyhyt, joka alkaa hyvin.

Tarkista luettelo uudelleen aina, kun operaattori muuttaa sitä. Tuotu joukko on hyödyllinen vain niin kauan kuin sen merkinnät ovat olemassa ja puhuvat siirtoa, jota lohkosi kuvaavat. OpenVPN 2.6 -käsikirja kattaa tässä remote-, connection- ja random-order-direktiivit, ja se on versio, joka tarkistetaan, kun syntaksi on epäselvä.