OpenVPN remote-random: urutan acak, satu terowongan

Anggapannya adalah bahwa menambahkan remote-random mengubah profil menjadi kumpulan yang berputar, sehingga setiap koneksi keluar dari alamat yang berbeda. Yang sebenarnya dilakukan direktif ini adalah mengacak daftar remote satu kali, ketika klien mulai terhubung, lalu mencobanya dalam urutan baru itu. Terowongan yang akhirnya menyala tetap berakhir di satu titik akhir dan bertahan di sana selama masa hidup sesi.

Perbedaan itu penting untuk pengujian maupun klaim privasi.

Apa yang diubah opsi ini saat koneksi

Profil klien dapat memuat beberapa baris remote, masing-masing dengan nama host dan port sendiri. Tanpa direktif, baris-baris itu dicoba sesuai urutan berkas; dengan direktif, daftar diacak satu kali di awal sesi dan alamat pertama yang menjawab menang. Sisanya tetap menjadi cadangan untuk percobaan ini, bukan jalur paralel. Profil dengan satu remote tidak memberi direktif apa pun untuk diacak, dan itulah cara tercepat untuk melihat apakah hal ini bisa berarti.

Manual OpenVPN mendokumentasikan opsi ini sebagai memengaruhi urutan percobaan koneksi, dan itulah tepatnya cakupan yang patut diharapkan dalam perilakunya.

Menyambung ulang memulai siklus pemilihan baru, sehingga sesi berikutnya bisa mendarat di tempat lain. Terowongan yang aktif tidak berpindah selama menyala.

Mitos: setiap permintaan mendapat server baru

Setelah terbentuk, terowongan membawa seluruh lalu lintas sesi itu ke peer yang dipilih. Tidak ada pemilihan ulang per permintaan, dan direktif ini bukan penyeimbang beban untuk koneksi individual: ia mengacak kandidat, ia tidak menyebarkan paket. Setiap aplikasi yang berbagi terowongan itu berbagi peer yang sama. Apa pun yang dilaporkan peramban tentang jalan keluarnya adalah milik sesi, bukan milik satu permintaan.

Jika sebuah pengujian menunjukkan dua jalan keluar berbeda, carilah dua sesi terpisah alih-alih satu opsi pintar. Perbedaan itu juga menjelaskan mengapa uji peramban dan uji unduhan bisa tidak cocok ketika terjadi penyambungan ulang di antara keduanya.

Untuk apa remote-random-hostname

Direktif kedua dengan nama serupa mengubah nama host yang dipakai untuk resolusi, bukan urutan daftar remote. Direktif itu ada untuk penerapan yang namanya diresolusikan ke beberapa alamat melalui DNS round-robin, dan hanya boleh dipakai bila layanannya memang dibangun untuk itu. Hanya langkah resolusi yang berubah; urutan daftar kandidat tidak.

Mengaktifkannya karena namanya tampak berkaitan adalah kesalahan umum. Sertifikat wildcard atau tata letak DNS yang tidak mengharapkan nama yang diubah akan gagal melakukan resolusi atau validasi.

Baca titik akhir terpilih dari log

Catat peer mana yang benar-benar dipakai suatu sesi sebelum menarik kesimpulan. Keluaran verbose menyebutkan alamat yang sedang dicoba, dan profil itu sendiri menunjukkan berapa banyak kandidat. Bandingkan jumlah itu dengan alamat di log sebelum menyalahkan pengacakan.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Untuk perbandingan kinerja, kunci titik akhir dengan mengomentari remote lain agar variabel yang diuji adalah protokol atau klien, bukan jalurnya. Untuk pertanyaan privasi, nilai identitas layanan dan pencatatannya secara keseluruhan; pilihan pertama yang diacak tidak menghapus cookie, tidak menghilangkan login akun, dan tidak membuat dua operator setara.

Simpan materi kepercayaan yang dikirim bersama kumpulan titik akhir yang didukung. Pengacakan ulang hanya mengubah urutan kumpulan itu dicoba.