OpenVPN remote-random: არეული რიგი, ერთი გვირაბი

ვარაუდია, რომ remote-random-ის დამატება პროფილს მბრუნავ კრებულად აქცევს და ყოველი კავშირი სხვა მისამართიდან გამოდის. სინამდვილეში დირექტივა აკეთებს შემდეგს: ერთხელ ურევს remote-ების სიას, როცა კლიენტი იწყებს დაკავშირებას, და შემდეგ ცდის მათ ამ ახალი რიგით. გვირაბი, რომელიც საბოლოოდ ადის, მაინც ერთ საბოლოო წერტილზე მთავრდება და იქ რჩება სესიის მთელი სიცოცხლის განმავლობაში.

ეს განსხვავება მნიშვნელოვანია როგორც ტესტირებისთვის, ისე კონფიდენციალურობის მტკიცებებისთვის.

რას ცვლის ოფცია დაკავშირების დროს

კლიენტის პროფილი შეიძლება შეიცავდეს რამდენიმე remote ხაზს, თითოეული საკუთარი ჰოსტის სახელითა და პორტით. დირექტივის გარეშე ისინი ფაილის რიგით იცდება; მასთან სია სესიის დასაწყისში ერთხელ გადალაგდება და იმარჯვებს პირველი მისამართი, რომელიც პასუხობს. დანარჩენები ამ ცდისთვის სარეზერვო ვარიანტებად რჩება, არა პარალელურ ბილიკებად. ერთი remote-ის მქონე პროფილი დირექტივას არაფერს აძლევს შესარევად და ეს ყველაზე სწრაფი გზაა იმის სანახავად, შეიძლება თუ არა ამას მნიშვნელობა ჰქონდეს.

OpenVPN-ის სახელმძღვანელო ოფციას აღწერს როგორც დაკავშირების ცდების რიგზე მოქმედს და ზუსტად ესაა ის მოცულობა, რომელიც ქცევაში უნდა ველოდოთ.

ხელახალი დაკავშირება იწყებს არჩევის ახალ ციკლს, ამიტომ გვიანდელი სესია სხვაგან შეიძლება აღმოჩნდეს. აქტიური გვირაბი არ მოძრაობს, სანამ ის მუშაობს.

მითი: ყოველი მოთხოვნა ახალ სერვერს იღებს

დამყარების შემდეგ გვირაბი ამ სესიის მთელ ტრაფიკს არჩეულ პარტნიორთან მიაქვს. მოთხოვნაზე ხელახალი არჩევა არ ხდება და დირექტივა ცალკეული კავშირებისთვის დატვირთვის ბალანსირებელი არ არის: ის კანდიდატებს ურევს და არ ანაწილებს პაკეტებს. ყოველი აპლიკაცია, რომელიც ამ გვირაბს იზიარებს, იმავე პარტნიორს იზიარებს. რასაც ბრაუზერი თავის გასასვლელზე იტყობინება, სესიას ეკუთვნის და არა ცალკეულ მოთხოვნას.

თუ ტესტი ორ განსხვავებულ გასასვლელს აჩვენებს, მოძებნეთ ორი ცალკე სესია და არა ერთი ჭკვიანური ოფცია. ეს განსხვავება ასევე ხსნის, თუ რატომ შეიძლება ბრაუზერის ტესტი და ჩამოტვირთვის ტესტი არ დაემთხვეს, თუ მათ შორის ხელახალი დაკავშირება მოხდა.

რისთვისაა remote-random-hostname

მსგავსი სახელის მეორე დირექტივა ცვლის გადაწყვეტისთვის გამოყენებულ ჰოსტის სახელს და არა remote-ების სიის რიგს. ის არსებობს იმ განლაგებებისთვის, სადაც სახელი round-robin DNS-ის მეშვეობით რამდენიმე მისამართად იშლება და უნდა გამოიყენებოდეს მხოლოდ მაშინ, როცა სერვისი ამისთვისაა აგებული. იცვლება მხოლოდ გადაწყვეტის ნაბიჯი; კანდიდატების სიის რიგი არა.

მისი ჩართვა იმიტომ, რომ სახელები დაკავშირებულად გამოიყურება, გავრცელებული შეცდომაა. ველური ბარათის სერთიფიკატი ან DNS-ის განლაგება, რომელიც შეცვლილ სახელს არ ელოდება, უბრალოდ ვერ გადაწყვეტს ან ვერ დაადასტურებს.

წაიკითხეთ არჩეული საბოლოო წერტილი ჟურნალიდან

სანამ დასკვნებს გამოიტანთ, ჩაიწერეთ, რომელი პარტნიორი გამოიყენა სესიამ სინამდვილეში. დეტალური გამონატანი ასახელებს საცდელ მისამართს და თავად პროფილი აჩვენებს, რამდენი კანდიდატია. შეადარეთ ეს რაოდენობა ჟურნალში არსებულ მისამართს, სანამ არევას დაადანაშაულებთ.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

შესრულების შედარებისთვის დაამაგრეთ საბოლოო წერტილი სხვა remote-ების კომენტარად ქცევით, რათა გამოსაცდელი ცვლადი იყოს პროტოკოლი ან კლიენტი და არა ბილიკი. კონფიდენციალურობის საკითხისთვის შეაფასეთ სერვისის იდენტობა და მისი ჟურნალირება მთლიანობაში; არეული პირველი არჩევანი არ შლის ქუქიებს, არ აშორებს ანგარიშზე შესვლას და არ ხდის ორ ოპერატორს თანაბარს.

შეინახეთ ერთად მოწოდებული ნდობის მასალა და მხარდაჭერილი საბოლოო წერტილების ნაკრები. ხელახალი არევა ცვლის მხოლოდ იმ რიგს, რომლითაც ეს ნაკრები სინჯავს.