Varios remote de OpenVPN: lista de failover, non enlace de canles

Dúas liñas remote nun perfil parecen unha segunda vía; son un segundo intento. Cando o primeiro endpoint deixa de responder, o cliente pasa ao seguinte e a sesión non se ensancha. Chame failover á lista desde o principio, ou axustará o mando equivocado.

Que lle achega unha lista de remote

Trate o perfil como un conxunto ordenado de intentos, non como un fondo de capacidade. Cada entrada ten a súa quenda para levantar o túnel, e a sesión vive na que respondeu. Unha lista máis longa mellora as súas probabilidades de conectar, non o tamaño da tubaxe.

A agregación real é outra máquina. Dividir un fluxo por varias rutas esixe software nos dous extremos para repartir e reensamblar o tráfico en orde.

Un provedor que promete túneles máis rápidos con máis servidores vende ese segundo modelo, non unha lista máis longa. Se o cliente só proba endpoints por quendas, cinco entradas cambian as súas probabilidades e nada máis. Observe unha caída: a sesión cae e volve noutro sitio, o que o rexistro mostra como un endpoint novo, nunca como unha tubaxe máis ancha.

Bloques que gardan a configuración cun só endpoint

Unha liña remote normal leva un enderezo e ás veces un porto e un protocolo. Cando un endpoint necesita un proxy ou un transporte que o resto do ficheiro non usa, meta esa configuración nun bloque de conexión que a garde con el. Os bloques en liña tamén funcionan nun ficheiro .ovpn, e así se distribúen a maioría dos perfís.

Todo o que está fóra dun bloque actúa como valor predeterminado para as entradas que non o sobrescriben. Por iso un bloque construído e catro remote simples compórtanse de xeitos que a lista de enderezos non pode explicar.

Borrar un bloque que non recoñece non é cosmético. O endpoint ao que pertencía volve aos valores predeterminados do ficheiro, que poden ser un transporte distinto do que escoita. Quite a envoltura equivocada e unha entrada falla mentres o resto funciona, así que parece un servidor malo e non un perfil roto. Lea cada remote co seu transporte, porto e proxy antes de editar.

Orde de reintentos e o custo de remote-random

A orde importa porque cada entrada morta custa tempo antes do seguinte intento. Poña primeiro o endpoint que quere e trate o resto como alternativas ordenadas.

remote-random baralla a orde inicial, o que reparte a carga entre servidores equivalentes e sae mal cando un endpoint é claramente primario. En calquera caso, rexistre o endpoint que escolleu o cliente; o nome do perfil non di nada cando unha conexión vai lenta. Buscar con grep a liña de enlace nun rexistro detallado mostra onde aterrou a sesión.

Mesturar operadores rompe a declaración de confianza

Un perfil tamén é unha afirmación sobre a identidade: estes enderezos son o servizo que quería acadar, e o certificado fixado perténcelle. Meter servidores públicos gratuítos nese ficheiro rompe a afirmación: os seus certificados e o seu describen servizos distintos. O resultado habitual é un fallo de identidade, ou credenciais ofrecidas a un host fóra da rede do seu provedor. Manteña as alternativas dentro do conxunto que distribúe o seu operador, con credenciais e material de confianza coincidentes.

Se necesita endpoints de dous provedores, iso é encamiñamento, non unha edición do perfil. Resólvao por riba do túnel, onde pode dicir que tráfico toma que camiño.

Probar cada entrada en lugar de supoñer

Tras unha actualización aprobada do perfil, concéctese a cada endpoint necesario a propósito e confirme que transporte subiu. Unha execución detallada faino visible. Inicie openvpn --config office.ovpn --verb 4 e lea a liña de enlace para o enderezo que esperaba. Despois comprobe os recursos tras o túnel; unha entrada pode completar o aperto de mans e aínda así non encamiñalo a ningures.

O failover necesita a súa propia proba en lugar dunha esperanza. Bloquee o primeiro endpoint nun laboratorio, inicie o cliente e mida canto tarda en pasar ao seguinte. Unha lista longa detrás dunha primeira entrada lenta é peor ca unha curta que comeza ben.

Volva comprobar a lista sempre que o operador a cambie. Un conxunto importado só é útil mentres as súas entradas existan e falen o transporte que describen os seus bloques. O manual de OpenVPN 2.6 cobre aquí as directivas remote, connection e random-order, e é a versión que cómpre consultar cando a sintaxe é dubidosa.