OpenVPN remote-random: sekoitettu järjestys, yksi tunneli

Oletus on, että remote-random-asetuksen lisääminen muuttaa profiilin pyöriväksi joukoksi, jolloin jokainen yhteys lähtee eri osoitteesta. Mitä direktiivi todella tekee: se sekoittaa remote-luettelon kerran, kun asiakas alkaa yhdistää, ja yrittää sitten niitä tässä uudessa järjestyksessä. Lopulta nouseva tunneli päättyy silti yhteen päätepisteeseen ja pysyy siellä koko istunnon eliniän.

Tällä erolla on merkitystä sekä testaukselle että yksityisyysväitteille.

Mitä asetus muuttaa yhteyden muodostuksessa

Asiakasprofiilissa voi olla useita remote-rivejä, kullakin oma isäntänimensä ja porttinsa. Ilman direktiiviä niitä yritetään tiedoston järjestyksessä; sen kanssa luettelo permutoidaan kerran istunnon alussa ja se osoite voittaa, joka vastaa ensimmäisenä. Loput jäävät tämän yrityksen varavaihtoehdoiksi, eivät rinnakkaisiksi poluiksi. Yhden remote-kohteen profiili ei anna direktiiville mitään sekoitettavaa, ja se on nopein tapa nähdä, voiko sillä olla merkitystä.

OpenVPN:n käsikirja dokumentoi asetuksen vaikuttavan yhteydenyritysten järjestykseen, ja juuri se on se laajuus, joka käyttäytymisessä pitää odottaa.

Uudelleenyhdistäminen aloittaa uuden valintasyklin, joten myöhempi istunto voi päätyä muualle. Käynnissä oleva tunneli ei liiku, kun se on pystyssä.

Myytti: jokainen pyyntö saa uuden palvelimen

Kun tunneli on muodostettu, se kuljettaa kyseisen istunnon kaiken liikenteen valitulle vastapuolelle. Pyyntökohtaista uudelleenvalintaa ei ole, eikä direktiivi ole kuormantasaaja yksittäisille yhteyksille: se sekoittaa ehdokkaita, ei jaa paketteja. Jokainen sovellus, joka jakaa tämän tunnelin, jakaa saman vastapuolen. Mitä selain kertoo ulostulostaan, kuuluu istunnolle, ei yksittäiselle pyynnölle.

Jos testi näyttää kaksi eri ulostuloa, etsi kahta erillistä istuntoa yhden ovelan asetuksen sijaan. Tämä ero selittää myös, miksi selaintesti ja lataustesti voivat olla eri mieltä, jos niiden välillä tapahtui uudelleenyhdistäminen.

Mihin remote-random-hostname on tarkoitettu

Toinen samanniminen direktiivi muuttaa nimipalveluun käytettävää isäntänimeä, ei remote-luettelon järjestystä. Se on tarkoitettu käyttöönottoihin, joissa nimi ratkeaa useisiin osoitteisiin round-robin DNS:n kautta, ja sitä tulisi käyttää vain, kun palvelu on rakennettu sitä varten. Vain ratkaisuvaihe muuttuu; ehdokasluettelon järjestys ei.

Sen ottaminen käyttöön siksi, että nimet näyttävät liittyvän toisiinsa, on yleinen virhe. Yleismerkkivarmenteen tai DNS-järjestelyn, joka ei odota muutettua nimeä, ratkaisu tai vahvistus yksinkertaisesti epäonnistuu.

Lue valittu päätepiste lokista

Kirjaa, mitä vastapuolta istunto todella käytti, ennen kuin teet johtopäätöksiä. Yksityiskohtainen tuloste nimeää yritettävän osoitteen, ja profiili itse näyttää, kuinka monta ehdokasta on. Vertaa tätä lukua lokin osoitteeseen ennen kuin syytät sekoittamista.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Suorituskykyvertailua varten kiinnitä päätepiste kommentoimalla muut remotet pois, jotta testattava muuttuja on protokolla tai asiakas eikä polku. Yksityisyyskysymystä varten arvioi palvelun identiteetti ja lokitus kokonaisuutena; sekoitettu ensivalinta ei tyhjennä evästeitä, poista tilin kirjautumista eikä tee kahdesta operaattorista samanarvoista.

Pidä toimitettu luottamusmateriaali ja tuettu päätepistejoukko yhdessä. Uudelleensekoitus muuttaa vain sitä järjestystä, jossa kyseistä joukkoa yritetään.