Серіктес мекенжайы сессия ортасында өзгерді: OpenVPN-де float не істейді

Ноутбук кеңсе Wi-Fi-інен телефон хотспотына ауысады, туннель тағы бірнеше секунд тұрады, содан кейін интерфейс әлі де қосылғанын мәлімдеп тұрған кезде трафик тоқтайды. Серверде күй тізімі әлі де ескі жария мекенжайды көрсетеді. Бұл — float бар болуының себебі болған жағдай және адамдар одан істеп жатқанынан әлдеқайда көп нәрсе күтетін жағдай. Шекараны дұрыс түсіну шатастыратын тоқырауды не бір жолдық конфигурация өзгерісіне, не мүлде басқа тергеуге айналдырады.

float нені босаңсытады және нені ешқашан босаңсытпайды

Әдетте сессия өзі басталған сыртқы мекенжай мен портпен сөйлесуді жалғастырады, ал кез келген басқа жерден келген пакеттер еленбейді. float опциясы серіктес өзін дәлелдегеннен кейін осы қатаң байланысты алып тастайды, сондықтан өзгерген көз бейнелеуі сол сессияны жалғастыра алады, тасталып кетпейді. Криптографиялық тексерулерде ештеңе өзгермейді: кілттер, сертификаттар және кез келген HMAC қорғанысы конфигурацияланған күйінде қалады.

Бұл әр пакет үшін қабылданатын шешім, кімнің қосыла алатыны туралы саясат емес. Жаңа мекенжайдан пакет жіберген белгісіз машина ештеңе дәлелдеген жоқ, оның пакеті кез келген басқа аутентификацияланбаған трафик сияқты тасталады. Жазбаға алынған серіктес мекенжайын тек сессияның өз аутентификациясынан өтетін трафик қана жылжыта алады, сондықтан клиенттер қозғалатын ортада float-ты қосулы қалдыру қауіпсіз.

Ол ішкі туннель туралы да ештеңе айтпайды. Жылжытылған сыртқы мекенжай туннель мекенжайын қайта тағайындамайды, пулды өзгертпейді және серіктеске жаңа нәрсеге қатынас бермейді. Туннельдің ішінде жылжығанға дейін де, кейін де сол сәйкестік пен сол итерілген маршруттар қолданылады. Көшу деректер арнасын қайта келіспейді де, сондықтан келісілген шифр мен кілттер жалғасады.

Сессияны жылжытатын пакет аутентификациядан өтуі керек

Конфигурацияланған қашық жаққа қарсы сессияны әдеттегідей бастаңыз, ал бейнелеу өзгергенде не болатынын float шешеді. Ағын ортасында нөмірлеуді өзгертетін ұялы оператор, порт бейнелеуін қайта жазатын NAT қақпасы немесе жоғарғы арнаны ауыстыратын ноутбук — барлығы бір пішін жасайды: жаңа кортежден келген аутентификацияланған пакеттер ескісіне әлі сенетін сессияға жетеді.

float жұмыс істеп тұр ма деп сұрағанда, пайдалы дәлел — аяқталған қол алысу және одан кейін қабылданған көз өзгерісі, тек мекенжай туралы журнал жолы емес. Ескі және жаңа сыртқы мекенжайды тірі қалған сессиямен байланыстырыңыз, содан кейін трафиктің шынымен туннель арқылы жалғасқанын растаңыз.

Егер сессия жылжу орнына өліп қалса, жаңа мекенжайдан келген пакет аутентификациядан өтпеген немесе мүлде келмеген болуы мүмкін. Клиент жағынан екі жағдай да бірдей көрінеді. Серверде жария интерфейсте жасалған ұстау кез келген конфигурацияға қол тигізбес бұрын қайсысы екенін айтады.

Анықтау — мүлде бөлек механизм

float атауларды таймер бойынша шешпейді және динамикалық DNS жазбасын бақыламайды. Егер сервердің хост атауы жаңа мекенжайға шешіле бастаса, бос клиенттің мұны байқауға себебі жоқ және жаңа соңғы нүктеден аутентификациялайтын пакеті жоқ. Бұл мәселе қайта қосылу логикасына, клиенттің өзінің қайта әрекет ету мінезіне және DNS-ке жатады, float-қа емес.

Опцияны тағы бір рет қосу жаңа мекенжайға маршруттың жоқтығын өтей алмайды. Серіктес үнсіз болғанда да көмектесе алмайды, өйткені үнсіз серіктес ештеңені жылжытатын аутентификацияланған пакетті ешқашан жібермейді.

Астыңғы файрволдың да айтар сөзі бар. Тек ескі сыртқы соңғы нүктеге рұқсат беретін ереже өзгерген мекенжайды OpenVPN оны көрмес бұрын бөгеп тастайды, ал клиент жағындағы ешбір конфигурация мұны түзетпейді. Рұқсат етілген мекенжайлардың өмірлік циклін жеке міндет ретінде қарап шығыңыз; ережені кез келген көзге кеңейту кіші мәселені үлкен мәселемен алмастырады.

Профиль NetworkManager иелігінде болғанда

Пәрмен жолы профилі мен импортталған қосылым жеке конфигурациялар, бірін өңдеу екіншісіне тимейді. Опция қолдаулы емес деп есептемес бұрын сақталған профиль шын мәнінде қандай плагин түрін қолданатынын және оның мәндері қайда тұратынын анықтаңыз. Профиль UUID-і — бірдеңені тексергенде немесе өзгерткенде маңызды сәйкестендіргіш.

Түпнұсқа импорт файлын емес, сақталған қосылымды тексеріңіз. .ovpn файлында қалған жол белсенді менеджер оны ешқашан қолданбаса, ештеңе дәлелдемейді, ал белгілі бір опция үшін белгі қоятын ұяшығы жоқ редактор да протоколдың мүмкіндіктері туралы ештеңе дәлелдемейді.

Мінез-құлықты қосу үшін бумаланған плагинді қабыспаңыз, әсіресе байланысы жоқ компоненттің тарихи нұсқасы үшін жазылған diff-пен емес. Егер орнатылған интеграция бұл параметрді шынымен білдіре алмаса, дұрыс қадам — қолдаулы профиль немесе орналастыру иесі бекіткен басқа клиент жолы.

Болжам жасамай, ауысуды дәлелдеңіз

Сынақты ақау орын алатын жолмен жүргізіңіз. Қосылыңыз, туннель арқылы трафикті тексеріңіз, сыртқы мекенжайды өзгеруге мәжбүрлеңіз, содан кейін үш нәрсені тексеріңіз: сессия әлі бар, жазылған серіктес мекенжайы жылжыды және нақты сұраныс әлі де межелі жеріне жетеді. Осы үшеуінен кем кез келген нәрсе — жартылай жауап.

Сынақ кезінде қалпына келтіру қатынасын қолжетімді ұстаңыз, өйткені көшу тәжірибелері сіз жұмыс істеп отырған машинаны тұйықтап қалдыруға әдетті. Сериялық консоль немесе жолақтан тыс маршрут сәтсіз сынақты орынға барудың орнына бес минуттық қалпына келтіруге айналдырады.

Соңында, тек өзіңіз сынаған жағдайды сипаттаңыз. Сессия кезіндегі сәтті мекенжай өзгерісі DNS көшірулері, басқа клиент іске асырылуы немесе қайта құрылған профиль дәл солай әрекет етеді деген дәлел емес. link-options құжаттамасы опцияның ауқымын дәл көрсетеді; сынақ журналыңыз осы ауқымның қай бөлігін шынымен қамтығаныңызды айтуы керек.