Heimilisfang jafningjans breyttist um miðja lotu: hvað float í OpenVPN gerir

Fartölvan flyst úr Wi-Fi skrifstofunnar yfir á heitan reit í síma, göngin standa í nokkrar sekúndur í viðbót og svo stöðvast umferðin á meðan viðmótið heldur áfram að fullyrða að það sé tengt. Á þjóninum sýnir stöðulistinn enn gamla opinbera heimilisfangið. Þetta er aðstæðan sem float er til fyrir, og jafnframt aðstæðan þar sem fólk væntir miklu meira af því en það gerir. Rétt skilin mörk gera ruglingslega stöðnun ýmist að einnar línu stillingarbreytingu eða allt annarri rannsókn.

Hvað float slakar á, og hvað það slakar aldrei á

Venjulega heldur lota áfram að tala við ytra heimilisfangið og gáttina sem hún byrjaði með, og pakkar sem berast annars staðar frá eru hunsaðir. Valkosturinn float fjarlægir þessa ströngu bindingu þegar jafninginn hefur þegar sannað sig, svo breytt varpan á uppruna getur haldið sömu lotu áfram í stað þess að vera hent. Ekkert í dulmálsprófununum breytist: lyklar, skírteini og hvaða HMAC vernd sem er halda sér nákvæmlega eins og stillt var.

Þetta er ákvörðun fyrir hvern pakka, ekki stefna um hverjir mega tengjast. Óþekkt vél sem sendir pakka frá nýju heimilisfangi hefur ekki sannað neitt, og pakkanum hennar er hent eins og allri annarri óauðkenndri umferð. Aðeins umferð sem stenst auðkenningu lotunnar sjálfrar getur fært skráða heimilisfang jafningjans, og þess vegna er öruggt að láta float vera á í umhverfum þar sem biðlarar ferðast um.

Það segir líka ekkert um innri göngin. Fært ytra heimilisfang úthlutar ekki gönguheimilisfangi aftur, breytir ekki þýðinu og veitir jafningjanum ekki aðgang að neinu nýju. Inni í göngunum gilda sama auðkenni og sömu ýttu leiðir fyrir og eftir færsluna. Ferðalag semur heldur ekki aftur um gagnarásina, svo sami dulritun og lyklar halda áfram.

Pakkanum sem færir lotu verður að auðkenna sig

Byrjaðu lotu á venjulegan hátt gagnvart stillta fjarlæga endanum, og float sér um hvað gerist þegar varpan breytist. Farsímafyrirtæki sem endurnúmerar um miðja strauminn, NAT-gátt sem endurskrifar gáttavörpun sína eða fartölva sem skiptir um uppstreymistengingu skila allar sama forminu: auðkenndir pakkar úr nýrri túplu, sem berast í lotu sem trúir enn á þá gömlu.

Þegar spurt er hvort float virki er gagnleg sönnun lokið handabandi sem fylgt er eftir með samþykktri upprunabreytingu, ekki línulína um heimilisfangið eitt og sér. Tengdu gamla og nýja ytra heimilisfangið við lotuna sem var á lífi og staðfestu svo að umferðin hafi í raun haldið áfram í gegnum göngin.

Ef lotan deyr í stað þess að færast misheppnaðist pakkinn sem barst frá nýja heimilisfanginu líklega í auðkenningu eða barst alls ekki. Bæði tilvikin líta eins út frá biðlaranum. Á þjóninum segir handtaka á opinbera viðmótinu þér hvort þú ert með fyrir þér en þú snertir nokkra stillingu.

Uppgötvun er algjörlega aðskilin aðferð

float leysir ekki nöfn á tímamæli og fylgir ekki kraftmikilli DNS-færslu. Ef hýsingarheiti þjónsins byrjar að leysast á nýtt heimilisfang hefur aðgerðarlaus biðlari enga ástæðu til að taka eftir því og engan pakka frá nýja endapunktinum til að auðkenna. Það vandamál tilheyrir endurtengingar-rökfræði, eigin endurreynsluhegðun biðlarans og DNS, ekki float.

Að bæta valkostnum við enn einu sinni getur ekki bætt upp skort á leið að nýja heimilisfanginu. Það hjálpar ekki heldur þegar jafninginn þegir, því þegjandi jafningi sendir aldrei auðkennda pakkann sem myndi færa eitthvað.

Eldveggurinn undir hefur líka rödd. Regla sem leyfir aðeins gamla ytri endapunktinn lokar fyrir breytta heimilisfangið áður en OpenVPN sér það, og engin biðlarastilling lagar það. Farðu yfir lífsferil leyfilegra heimilisfanga sem sjálfstætt verkefni; að víkka regluna út á hvaða uppruna sem er skiptir litlu vandamáli út fyrir stórt.

Þegar NetworkManager á prófílinn

Prófíll á skipanalínu og innflutt tenging eru aðskildar stillingar, og að breyta annarri snertir ekki hina. Áður en þú gerir ráð fyrir að valkosturinn sé ekki studdur skaltu staðfesta hvaða viðbótargerð vistaði prófíllinn notar í raun og hvar gildin hans búa. UUID prófílsins er auðkennið sem skiptir máli þegar þú skoðar eða breytir einhverju.

Skoðaðu vistaðu tenginguna frekar en upprunalegu innflutningsskrána. Lína sem lifir í .ovpn skrá sannar ekkert ef virki stjórnandinn notaði hana aldrei, og ritill án gátreits fyrir tiltekinn valkost sannar líka ekkert um getu samskiptareglunnar.

Lagaðu ekki pakkaða viðbót til að bæta hegðuninni við, sérstaklega ekki með diff sem skrifað er fyrir sögulega útgáfu af ótengdum hluta. Ef uppsetta samþættingin getur sannarlega ekki tjáð stillinguna er rétta skrefið studdur prófíll eða önnur biðlaraleið sem eigandi uppsetningarinnar samþykkir.

Sannaðu umskiptin í stað þess að gera ráð fyrir þeim

Keyrðu prófið eins og bilunin gerist. Tenging, staðfestu umferð í gegnum göngin, þvingaðu ytra heimilisfangið til að breytast og athugaðu svo þrjá hluti: lotan er enn til, skráða heimilisfang jafningjans hefur færst og raunveruleg beiðni nær enn áfangastað sínum. Hvað sem er minna en þrír er aðeins að hluta svar.

Haltu endurheimtaraðgangi tiltækum meðan þú prófar, því ferðatilraunir eiga það til að skilja vélina sem þú vinnur úr eftir strandaglópa. Raðtengd stjórnborð eða leið utan bands gerir misheppnað próf að fimm mínútna endurheimt í stað heimsóknar á staðinn.

Að lokum skaltu aðeins lýsa því tilviki sem þú prófaðir. Árangursrík heimilisfangsbreyting í lotu er ekki sönnun þess að DNS-flutningar, önnur biðlaraframkvæmd eða endurbyggður prófíll hagi sér eins. link-options skjölin tilgreina umfang valkostsins nákvæmlega; prófaskráin þín ætti að segja hvaða hluta þess umfangs þú náðir í raun yfir.