Զուգընկերոջ հասցեն փոխվեց սեսիայի կեսին. ինչ է անում OpenVPN-ի float-ը

Նոթբուքը գրասենյակի Wi-Fi-ից անցնում է հեռախոսի հոթսփոթի, թունելը մնում է ևս մի քանի վայրկյան, և հետո երթևեկությունը կանգ է առնում, մինչ ինտերֆեյսը դեռ պնդում է, որ միացած է։ Սերվերի վրա կարգավիճակի ցանկը դեռ ցույց է տալիս հին հանրային հասցեն։ Սա այն իրավիճակն է, որի համար գոյություն ունի float-ը, և միաժամանակ այն իրավիճակը, երբ մարդիկ նրանից շատ ավելին են սպասում, քան այն անում է։ Սահմանի ճիշտ ըմբռնումը շփոթեցնող կանգը դարձնում է կա՛մ մեկ տողով կոնֆիգուրացիայի փոփոխություն, կա՛մ բոլորովին այլ հետաքննություն։

Ինչ է թուլացնում float-ը և ինչ երբեք չի թուլացնում

Սովորաբար սեսիան շարունակում է խոսել այն արտաքին հասցեի և պորտի հետ, որոնցով սկսվել է, իսկ այլ տեղից եկող փաթեթները անտեսվում են։ float տարբերակը հեռացնում է այդ խիստ կապը, երբ զուգընկերն արդեն ապացուցել է իրեն, ուստի փոփոխված աղբյուրի քարտեզագրումը կարող է շարունակել նույն սեսիան՝ դեն նետվելու փոխարեն։ Կրիպտոգրաֆիկ ստուգումներից ոչինչ չի փոխվում. բանալիները, վկայագրերը և ցանկացած HMAC պաշտպանություն մնում են ճիշտ այնպես, ինչպես կարգավորված են։

Սա որոշում է յուրաքանչյուր փաթեթի համար, ոչ թե քաղաքականություն այն մասին, թե ով կարող է միանալ։ Անհայտ մեքենան, որը փաթեթ է ուղարկում նոր հասցեից, ոչինչ չի ապացուցել, և նրա փաթեթը դեն է նետվում ինչպես ցանկացած այլ չնույնականացված երթևեկություն։ Միայն այն երթևեկությունը, որն անցնում է սեսիայի սեփական նույնականացումով, կարող է տեղափոխել գրանցված զուգընկերոջ հասցեն, և այդ պատճառով անվտանգ է float-ը միացված թողնել այն միջավայրերում, որտեղ հաճախորդները թափառում են։

Այն ոչինչ չի ասում նաև ներքին թունելի մասին։ Տեղափոխված արտաքին հասցեն չի վերահատկացնում թունելի հասցե, չի փոխում լողավազանը և զուգընկերոջը մուտք չի տալիս ինչ-որ նոր բանի։ Թունելի ներսում նույն ինքնությունը և նույն մղված երթուղիները գործում են տեղափոխումից առաջ և հետո։ Թափառումը նաև չի վերաբանակնում տվյալների ալիքը, ուստի պայմանավորված գաղտնագրումն ու բանալիները շարունակվում են։

Սեսիան տեղափոխող փաթեթը պետք է նույնականանա

Սկսեք սեսիա սովորական եղանակով դեպի կարգավորված հեռավոր կողմը, և float-ը կկարգավորի, թե ինչ է լինում, երբ քարտեզագրումը փոխվում է։ Հեռախոսային օպերատորը, որը հոսքի կեսին վերահամարակալում է, NAT դարպասը, որը վերագրում է իր պորտի քարտեզագրումը, կամ նոթբուքը, որը փոխում է վերին կապը, բոլորը ստեղծում են նույն ձևը. նույնականացված փաթեթներ նոր tuple-ից, որոնք հասնում են դեռ հինին հավատացող սեսիային։

Երբ հարցնում են՝ աշխատում է արդյոք float-ը, օգտակար ապացույցը ավարտված ձեռքսեղմումն է, որին հաջորդում է ընդունված աղբյուրի փոփոխություն, այլ ոչ թե միայն հասցեի մասին մատյանի տող։ Կապեք հին և նոր արտաքին հասցեները կենդանի մնացած սեսիայի հետ, ապա հաստատեք, որ երթևեկությունն իսկապես շարունակվել է թունելով։

Եթե սեսիան մեռնում է տեղափոխվելու փոխարեն, ապա նոր հասցեից եկած փաթեթը, հավանաբար, ձախողել է նույնականացումը կամ ընդհանրապես չի հասել։ Երկու դեպքերն էլ հաճախորդի կողմից նույն տեսքն ունեն։ Սերվերի վրա հանրային ինտերֆեյսի վրա արված որսումը ձեզ ասում է, թե որն ունեք, նախքան որևէ կոնֆիգուրացիայի դիպչելը։

Հայտնաբերումը բոլորովին առանձին մեխանիզմ է

float-ը չի լուծում անունները ժամաչափով և չի հետևում դինամիկ DNS գրառմանը։ Եթե սերվերի հոսթի անունը սկսում է լուծվել նոր հասցեի, ապա անգործ հաճախորդը պատճառ չունի դա նկատելու և նոր վերջնակետից նույնականացնելու փաթեթ չունի։ Այդ խնդիրը պատկանում է վերամիացման տրամաբանությանը, հաճախորդի սեփական կրկնափորձի վարքին և DNS-ին, ոչ թե float-ին։

Տարբերակը ևս մեկ անգամ ավելացնելը չի կարող փոխհատուցել նոր հասցեին երթուղու բացակայությունը։ Այն չի օգնի նաև, երբ զուգընկերը լուռ է, քանի որ լուռ զուգընկերը երբեք չի ուղարկում այն նույնականացված փաթեթը, որը ինչ-որ բան կտեղափոխեր։

Ներքևի հրապատն էլ ձայն ունի։ Կանոնը, որը թույլ է տալիս միայն հին արտաքին վերջնակետը, արգելափակում է փոխված հասցեն նախքան OpenVPN-ը նույնիսկ կտեսնի այն, և հաճախորդի կողմի ոչ մի կարգավորում դա չի շտկում։ Վերանայեք թույլատրված հասցեների կյանքի ցիկլը որպես առանձին խնդիր. կանոնն ընդարձակելը ցանկացած աղբյուրի վրա փոխում է փոքր խնդիրը մեծով։

Երբ պրոֆիլը պատկանում է NetworkManager-ին

Հրամանի տողի պրոֆիլը և ներմուծված կապը առանձին կոնֆիգուրացիաներ են, և մեկը խմբագրելը չի դիպչում մյուսին։ Նախքան ենթադրելը, որ տարբերակը չի աջակցվում, պարզեք, թե պահված պրոֆիլն իրականում ինչ տեսակի plugin է օգտագործում և որտեղ են ապրում նրա արժեքները։ Պրոֆիլի UUID-ն այն նույնացուցիչն է, որը կարևոր է, երբ ինչ-որ բան ստուգում կամ փոփոխում եք։

Ստուգեք պահված կապը, այլ ոչ թե սկզբնական ներմուծման ֆայլը։ .ovpn ֆայլում մնացած տողը ոչինչ չի ապացուցում, եթե ակտիվ կառավարիչը երբեք չի կիրառել այն, և տվյալ տարբերակի համար նշիչ չունեցող խմբագրիչը նույնպես ոչինչ չի ապացուցում արձանագրության հնարավորությունների մասին։

Մի՛ փոփոխեք փաթեթավորված plugin-ը վարքը ավելացնելու համար, հատկապես ոչ անկապ բաղադրիչի պատմական տարբերակի համար գրված diff-ով։ Եթե տեղադրված ինտեգրացիան իսկապես չի կարող արտահայտել կարգավորումը, ճիշտ քայլը աջակցվող պրոֆիլն է կամ տեղակայման տիրոջ կողմից հաստատված այլ հաճախորդի ուղի։

Ապացուցեք անցումը, այլ ոչ թե ենթադրեք այն

Անցկացրեք փորձարկումը այնպես, ինչպես ձախողումն է տեղի ունենում։ Միացեք, ստուգեք երթևեկությունը թունելով, ստիպեք արտաքին հասցեին փոխվել, ապա ստուգեք երեք բան. սեսիան դեռ գոյություն ունի, գրանցված զուգընկերոջ հասցեն տեղափոխվել է, և իրական հարցումը դեռ հասնում է իր նպատակակետին։ Երեքից պակաս ցանկացած բան մասնակի պատասխան է։

Փորձարկելիս վերականգնման հասանելիությունը մատչելի պահեք, քանի որ թափառման փորձերը սովորություն ունեն թողնելու այն մեքենան, որից աշխատում եք, անելանելի վիճակում։ Սերիական կոնսոլը կամ գոտուց դուրս երթուղին ձախողված փորձարկումը դարձնում է հինգ րոպեանոց վերականգնում՝ տեղում այցի փոխարեն։

Վերջապես, նկարագրեք միայն այն դեպքը, որը փորձարկել եք։ Սեսիայի ընթացքում հաջող հասցեի փոփոխությունը ապացույց չէ, որ DNS միգրացիաները, հաճախորդի այլ իրականացումը կամ վերակառուցված պրոֆիլը նույն կերպ կվարվեն։ link-options փաստաթղթերը ճշգրիտ նշում են տարբերակի շրջանակը. ձեր փորձարկման մատյանը պետք է նշի, թե այդ շրջանակի որ մասն եք իրականում ընդգրկել։